Atlassian、Jira、ConfluenceなどData Center製品の重大なファイルアクセスの脆弱性を修正

Atlassianは、セルフホスト型のData Center製品の顧客に対し、CVE-2026-21589として追跡されている重大な脆弱性に対処するセキュリティアップデートをインストールするよう求めた。The Registerによると、同社は月曜日、「Action required（対応が必要）」という見出しのメールをユーザーに送り、セキュリティ情報へのリンクを示した。The Registerは、この欠陥の深刻度評価が9.3だと報じている。

このバグは任意のファイルアクセスの脆弱性である。両メディアが引用したAtlassianのアドバイザリによると、ログインしていない攻撃者が、影響を受けるバージョンのWebアプリケーションのルートディレクトリ内にある特定のファイルにアクセスできる。ただし制約がある。攻撃者はファイルの正確な名前とパスを事前に知っている必要があり、この欠陥を使ってディレクトリの内容を一覧表示することはできない。Atlassianはまた、構成によっては機密ファイルが置かれている場合があり、それがリスクを高めると警告している。

影響を受ける製品は、Data Center版のBitbucket、Confluence、Jira Service Management、Jira Software、Bamboo、Crowd、およびCrucibleとFisheyeである。BleepingComputerは問題を修正したリリースを挙げており、それより前のバージョンはすべて脆弱である。修正版は、Bitbucket 9.4.26、10.2.8、10.5.1／Confluence 9.2.26、10.2.19／Jira Service Management 5.12.40、10.3.26、11.3.12／Jira Software 9.12.40、10.3.26、11.3.12／Bamboo 10.2.24、12.1.12／Crowd 6.3.7、7.0.3、7.1.7、7.2.4／CrucibleとFisheye 4.9.15である。

すぐにアップグレードできない管理者は、ユーザーにサインインを求めるインターネット公開インスタンスであっても、外部からのネットワークアクセスを遮断するよう勧告されている。BleepingComputerによると、アドバイザリには一時的な緩和策も記載されている。セキュリティ情報に記載されたトラバーサルパターンを遮断するWebアプリケーションファイアウォール（WAF）またはプロキシのルール、Confluence、Jira、Jira Service Management、Bamboo、Crowd向けのTomcat RewriteValveルール、そしてBitbucket向けのURL書き換えルールである。これらの変更はいずれも、Bitbucketのミラーおよびミラーファームのノードを含むすべてのクラスタノードに適用しなければならない。

Atlassianは、現時点でこの欠陥が悪用されている証拠はないとしている。それでも同社は、管理者に対し、同社が説明するトラバーサルパターンがないかアクセスログを確認するよう求めている。また、個々の顧客インスタンスが侵害されたかどうかは同社には判断できないとして、セルフホスト型の顧客は自社のセキュリティチームを関与させるべきだとしている。Atlassianのクラウドの顧客は、同社がホスト型サービスにすでにパッチを適用しているため、何もする必要はない。