Atlassian åtgärdar kritisk sårbarhet för filåtkomst i Jira, Confluence och andra Data Center-produkter

Atlassian har uppmanat kunder som kör företagets Data Center-produkter på egna servrar att installera säkerhetsuppdateringar för en kritisk sårbarhet med beteckningen CVE-2026-21589. Enligt The Register mejlade företaget användarna i måndags med ett meddelande med rubriken ”Action required” som länkar till dess säkerhetsbulletin. The Register rapporterar att sårbarheten har allvarlighetsgraden 9.3.

Felet är en sårbarhet som ger godtycklig filåtkomst. Atlassians säkerhetsmeddelande, som citeras av båda medierna, säger att en angripare som inte är inloggad kan nå specifika filer i webbapplikationens rotkatalog i berörda versioner. Det finns en begränsning: angriparen måste känna till filens exakta namn och sökväg i förväg, och sårbarheten kan inte användas för att lista vad en katalog innehåller. Atlassian varnar också för att vissa konfigurationer kan innehålla känsliga filer, vilket ökar risken.

De berörda produkterna är Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo och Crowd i deras Data Center-utgåvor, samt Crucible och Fisheye. BleepingComputer listar de versioner som åtgärdar problemet; alla tidigare versioner är sårbara. De är Bitbucket 9.4.26, 10.2.8 och 10.5.1; Confluence 9.2.26 och 10.2.19; Jira Service Management 5.12.40, 10.3.26 och 11.3.12; Jira Software 9.12.40, 10.3.26 och 11.3.12; Bamboo 10.2.24 och 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 och 7.2.4; samt Crucible och Fisheye 4.9.15.

Administratörer som inte kan uppgradera omedelbart rekommenderas att blockera åtkomst från externa nätverk, även för internetexponerade instanser som kräver att användarna loggar in. Enligt BleepingComputer listar säkerhetsmeddelandet också tillfälliga skyddsåtgärder: en regel i en web application firewall (WAF) eller proxy som blockerar de traverseringsmönster som anges i bulletinen, Tomcat RewriteValve-regler för Confluence, Jira, Jira Service Management, Bamboo och Crowd, samt en regel för URL-omskrivning för Bitbucket. Var och en av dessa ändringar måste tillämpas på alla klusternoder, inklusive speglar och mirror farm-noder i Bitbucket.

Atlassian säger att man i dagsläget inte har några belägg för att sårbarheten utnyttjas. Företaget ber ändå administratörer att granska sina åtkomstloggar efter de traverseringsmönster som det beskriver, och säger att det inte kan avgöra om en enskild kundinstans har komprometterats, så kunder med egen drift bör involvera sitt eget säkerhetsteam. Kunder i Atlassians moln behöver inte göra något, eftersom företaget redan har uppdaterat sin hostade tjänst.