Atlassian, Jira, Confluence ve diğer Data Center ürünlerindeki kritik dosya erişimi açığını kapattı

Atlassian, kendi sunucularında barındırılan Data Center ürünlerinin müşterilerinden CVE-2026-21589 olarak takip edilen kritik bir güvenlik açığı için güvenlik güncellemelerini yüklemelerini istedi. The Register'a göre şirket pazartesi günü kullanıcılara “Action required” başlıklı ve güvenlik bültenine bağlantı veren bir e-posta gönderdi. The Register, açığın önem derecesinin 9.3 olduğunu bildiriyor.

Hata, keyfi dosya erişimi zafiyeti. Her iki yayın organının da alıntıladığı Atlassian uyarısına göre, oturum açmamış bir saldırgan etkilenen sürümlerde web uygulaması kök dizinindeki belirli dosyalara erişebiliyor. Bir sınır var: saldırganın dosyanın tam adını ve yolunu önceden bilmesi gerekiyor ve açık, bir dizinin içeriğini listelemek için kullanılamıyor. Atlassian ayrıca bazı yapılandırmaların hassas dosyalar barındırabileceği ve bunun riski artırdığı konusunda uyarıyor.

Etkilenen ürünler Data Center sürümleriyle Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo ve Crowd ile Crucible ve Fisheye. BleepingComputer sorunu gideren sürümleri listeliyor; bunlardan önceki tüm sürümler savunmasız. Bunlar Bitbucket 9.4.26, 10.2.8 ve 10.5.1; Confluence 9.2.26 ve 10.2.19; Jira Service Management 5.12.40, 10.3.26 ve 11.3.12; Jira Software 9.12.40, 10.3.26 ve 11.3.12; Bamboo 10.2.24 ve 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 ve 7.2.4; ve Crucible ile Fisheye 4.9.15.

Hemen güncelleme yapamayan yöneticilere, kullanıcılardan oturum açmalarını isteyen internete açık örnekler dahil, dış ağ erişimini engellemeleri öneriliyor. BleepingComputer'a göre uyarı geçici önlemleri de sıralıyor: bültende belirtilen dizin geçişi kalıplarını engelleyen bir web application firewall (WAF) veya proxy kuralı, Confluence, Jira, Jira Service Management, Bamboo ve Crowd için Tomcat RewriteValve kuralları ve Bitbucket için bir URL yeniden yazma kuralı. Bu değişikliklerin her biri, Bitbucket'ın aynaları ve mirror farm düğümleri dahil olmak üzere tüm küme düğümlerine uygulanmalı.

Atlassian, şu anda açığın istismar edildiğine dair bir kanıtı olmadığını söylüyor. Yine de yöneticilerden erişim kayıtlarını tarif ettiği dizin geçişi kalıpları açısından incelemelerini istiyor ve belirli bir müşteri örneğinin ele geçirilip geçirilmediğini anlayamayacağını belirtiyor; bu nedenle ürünleri kendi sunucularında barındıran müşterilerin kendi güvenlik ekiplerini sürece dahil etmesi öneriliyor. Atlassian bulutundaki müşterilerin hiçbir şey yapmasına gerek yok, çünkü şirket barındırılan hizmetini zaten yamaladı.