Atlassian, Jira·Confluence 등 Data Center 제품의 치명적 파일 접근 취약점 패치

Atlassian은 자체 호스팅 Data Center 제품 고객에게 CVE-2026-21589로 추적되는 치명적 취약점에 대한 보안 업데이트를 설치하라고 안내했다. The Register에 따르면 회사는 월요일 “Action required”(조치 필요)라는 제목의 이메일을 사용자들에게 보냈으며, 이 메일에는 보안 공지 링크가 담겨 있었다. The Register는 이 결함의 심각도 등급이 9.3이라고 보도했다.

이 버그는 임의 파일 접근 취약점이다. 두 매체가 인용한 Atlassian의 권고문에 따르면, 로그인하지 않은 공격자가 영향받는 버전의 웹 애플리케이션 루트 디렉터리 안에 있는 특정 파일에 접근할 수 있다. 다만 제약이 있다. 공격자는 파일의 정확한 이름과 경로를 미리 알아야 하며, 이 결함으로 디렉터리에 무엇이 들어 있는지 목록을 볼 수는 없다. Atlassian은 또한 일부 구성에는 민감한 파일이 있을 수 있어 위험이 커진다고 경고했다.

영향받는 제품은 Data Center 에디션의 Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd와 Crucible 및 Fisheye다. BleepingComputer는 문제를 수정한 릴리스를 열거했으며, 그 이전 버전은 모두 취약하다. 수정 버전은 Bitbucket 9.4.26, 10.2.8, 10.5.1; Confluence 9.2.26, 10.2.19; Jira Service Management 5.12.40, 10.3.26, 11.3.12; Jira Software 9.12.40, 10.3.26, 11.3.12; Bamboo 10.2.24, 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7, 7.2.4; Crucible 및 Fisheye 4.9.15다.

즉시 업그레이드할 수 없는 관리자에게는 사용자에게 로그인을 요구하는 인터넷 노출 인스턴스라 하더라도 외부 네트워크 접근을 차단하라는 권고가 내려졌다. BleepingComputer에 따르면 권고문에는 임시 완화 조치도 나와 있다. 보안 공지에 명시된 경로 탐색(traversal) 패턴을 차단하는 웹 애플리케이션 방화벽(WAF) 또는 프록시 규칙, Confluence, Jira, Jira Service Management, Bamboo, Crowd용 Tomcat RewriteValve 규칙, Bitbucket용 URL 재작성 규칙이다. 이러한 변경 사항은 모두 Bitbucket의 미러와 미러 팜 노드를 포함한 모든 클러스터 노드에 적용해야 한다.

Atlassian은 현재로서는 이 결함이 악용되고 있다는 증거가 없다고 밝혔다. 그럼에도 관리자들에게 회사가 설명한 경로 탐색 패턴이 있는지 액세스 로그를 확인하라고 요청했으며, 특정 고객 인스턴스가 침해됐는지는 자사가 판단할 수 없으므로 자체 호스팅 고객은 자체 보안팀을 참여시켜야 한다고 밝혔다. Atlassian 클라우드 고객은 회사가 이미 호스팅 서비스를 패치했기 때문에 아무 조치도 할 필요가 없다.