Atlassian łata krytyczną lukę w dostępie do plików w Jira, Confluence i innych produktach Data Center

Atlassian wezwał klientów swoich samodzielnie hostowanych produktów Data Center do zainstalowania aktualizacji zabezpieczeń usuwających krytyczną podatność oznaczoną jako CVE-2026-21589. Według The Register firma wysłała w poniedziałek do użytkowników e-mail zatytułowany „Action required” (wymagane działanie) z odnośnikiem do swojego biuletynu bezpieczeństwa. The Register podaje, że luka ma ocenę ważności 9.3.

Błąd to podatność umożliwiająca dowolny dostęp do plików. Według komunikatu Atlassian, cytowanego przez oba serwisy, atakujący, który nie jest zalogowany, może dotrzeć do określonych plików w katalogu głównym aplikacji internetowej w podatnych wersjach. Jest jedno ograniczenie: atakujący musi z góry znać dokładną nazwę i ścieżkę pliku, a luki nie da się użyć do wyświetlenia zawartości katalogu. Atlassian ostrzega też, że w niektórych konfiguracjach mogą znajdować się pliki wrażliwe, co zwiększa ryzyko.

Problem dotyczy produktów Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo i Crowd w edycjach Data Center, a także Crucible i Fisheye. BleepingComputer wymienia wydania, które usuwają problem; wszystkie wcześniejsze wersje są podatne. Są to: Bitbucket 9.4.26, 10.2.8 i 10.5.1; Confluence 9.2.26 i 10.2.19; Jira Service Management 5.12.40, 10.3.26 i 11.3.12; Jira Software 9.12.40, 10.3.26 i 11.3.12; Bamboo 10.2.24 i 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 i 7.2.4; oraz Crucible i Fisheye 4.9.15.

Administratorom, którzy nie mogą od razu przeprowadzić aktualizacji, zaleca się zablokowanie dostępu z sieci zewnętrznej, nawet w przypadku instancji dostępnych z internetu, które wymagają od użytkowników zalogowania się. Według BleepingComputer komunikat wymienia też tymczasowe środki zaradcze: regułę zapory aplikacji internetowych (WAF) lub serwera proxy blokującą wzorce traversal wskazane w biuletynie, reguły Tomcat RewriteValve dla Confluence, Jira, Jira Service Management, Bamboo i Crowd oraz regułę przepisywania adresów URL dla Bitbucket. Każdą z tych zmian trzeba wprowadzić na wszystkich węzłach klastra, w tym na mirrorach Bitbucket i węzłach mirror farm.

Atlassian twierdzi, że obecnie nie ma dowodów na wykorzystywanie luki. Mimo to prosi administratorów o sprawdzenie dzienników dostępu pod kątem opisanych przez siebie wzorców traversal i zaznacza, że nie jest w stanie stwierdzić, czy konkretna instancja klienta została naruszona, dlatego klienci korzystający z samodzielnego hostingu powinni zaangażować własny zespół ds. bezpieczeństwa. Klienci chmury Atlassian nie muszą nic robić, ponieważ firma już załatała swoją usługę hostowaną.