Atlassian corrige falha crítica de acesso a arquivos no Jira, no Confluence e em outros produtos Data Center

A Atlassian pediu aos clientes de seus produtos Data Center auto-hospedados que instalem atualizações de segurança para uma vulnerabilidade crítica identificada como CVE-2026-21589. Segundo o The Register, a empresa enviou na segunda-feira um e-mail aos usuários com o título “Action required”, que remete ao seu boletim de segurança. O The Register informa que a falha tem uma classificação de gravidade de 9.3.

O bug é uma vulnerabilidade de acesso arbitrário a arquivos. O aviso da Atlassian, citado pelos dois veículos, diz que um atacante sem login pode acessar arquivos específicos dentro do diretório raiz da aplicação web nas versões afetadas. Há um limite: o atacante precisa saber de antemão o nome e o caminho exatos do arquivo, e a falha não pode ser usada para listar o conteúdo de um diretório. A Atlassian também alerta que algumas configurações podem conter arquivos sensíveis, o que aumenta o risco.

Os produtos afetados são Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo e Crowd em suas edições Data Center, além de Crucible e Fisheye. O BleepingComputer lista as versões que corrigem o problema; todas as versões anteriores são vulneráveis. São elas: Bitbucket 9.4.26, 10.2.8 e 10.5.1; Confluence 9.2.26 e 10.2.19; Jira Service Management 5.12.40, 10.3.26 e 11.3.12; Jira Software 9.12.40, 10.3.26 e 11.3.12; Bamboo 10.2.24 e 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 e 7.2.4; e Crucible e Fisheye 4.9.15.

Administradores que não possam atualizar imediatamente são orientados a bloquear o acesso pela rede externa, mesmo em instâncias expostas à internet que exigem login dos usuários. Segundo o BleepingComputer, o aviso também lista mitigações temporárias: uma regra de web application firewall (WAF) ou de proxy que bloqueie os padrões de travessia citados no boletim, regras Tomcat RewriteValve para Confluence, Jira, Jira Service Management, Bamboo e Crowd, e uma regra de reescrita de URL para o Bitbucket. Cada uma dessas alterações deve ser aplicada em todos os nós do cluster, incluindo os mirrors e os nós de mirror farm do Bitbucket.

A Atlassian diz que atualmente não tem evidências de que a falha esteja sendo explorada. Ainda assim, pede aos administradores que verifiquem seus logs de acesso em busca dos padrões de travessia que descreve, e afirma que não consegue dizer se uma determinada instância de cliente foi comprometida, por isso os clientes auto-hospedados devem envolver sua própria equipe de segurança. Os clientes da nuvem da Atlassian não precisam fazer nada, porque a empresa já corrigiu seu serviço hospedado.