Atlassian dicht kritiek lek voor bestandstoegang in Jira, Confluence en andere Data Center-producten

Atlassian heeft klanten van zijn zelfgehoste Data Center-producten opgeroepen beveiligingsupdates te installeren voor een kritieke kwetsbaarheid die wordt bijgehouden als CVE-2026-21589. Volgens The Register mailde het bedrijf gebruikers op maandag een bericht met als kop „Action required” (actie vereist), met een link naar zijn beveiligingsbulletin. The Register meldt dat het lek een ernstscore van 9.3 heeft.

De bug is een zwakke plek die willekeurige bestandstoegang mogelijk maakt. Volgens het advies van Atlassian, zoals door beide media geciteerd, kan een aanvaller die niet is ingelogd bij specifieke bestanden in de hoofdmap van de webapplicatie van getroffen versies komen. Er is een beperking: de aanvaller moet vooraf de precieze naam en het pad van het bestand kennen, en met het lek kan niet worden opgevraagd wat een map bevat. Atlassian waarschuwt ook dat sommige configuraties gevoelige bestanden kunnen bevatten, wat het risico vergroot.

De getroffen producten zijn Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo en Crowd in hun Data Center-edities, plus Crucible en Fisheye. BleepingComputer somt de releases op die het probleem verhelpen; elke eerdere versie is kwetsbaar. Het gaat om Bitbucket 9.4.26, 10.2.8 en 10.5.1; Confluence 9.2.26 en 10.2.19; Jira Service Management 5.12.40, 10.3.26 en 11.3.12; Jira Software 9.12.40, 10.3.26 en 11.3.12; Bamboo 10.2.24 en 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 en 7.2.4; en Crucible en Fisheye 4.9.15.

Beheerders die niet direct kunnen upgraden, wordt aangeraden externe netwerktoegang te blokkeren, ook voor vanaf internet bereikbare instanties die gebruikers laten inloggen. Volgens BleepingComputer noemt het advies ook tijdelijke maatregelen: een regel in een webapplicatiefirewall (WAF) of proxy die de in het bulletin genoemde traversal-patronen blokkeert, Tomcat RewriteValve-regels voor Confluence, Jira, Jira Service Management, Bamboo en Crowd, en een URL-herschrijfregel voor Bitbucket. Elk van deze wijzigingen moet worden doorgevoerd op alle clusternodes, inclusief de mirrors en mirror-farmnodes van Bitbucket.

Atlassian zegt momenteel geen bewijs te hebben dat het lek wordt misbruikt. Toch vraagt het bedrijf beheerders hun toegangslogs te controleren op de traversal-patronen die het beschrijft, en zegt het niet te kunnen vaststellen of een bepaalde klantinstantie is gecompromitteerd, dus zelfhostende klanten zouden hun eigen beveiligingsteam moeten inschakelen. Klanten in de cloud van Atlassian hoeven niets te doen, omdat het bedrijf zijn gehoste dienst al heeft gepatcht.