Atlassian виправила критичну вразливість доступу до файлів у Jira, Confluence та інших продуктах Data Center

Atlassian закликала клієнтів своїх продуктів Data Center, які розміщуються на власних серверах, встановити оновлення безпеки для критичної вразливості з ідентифікатором CVE-2026-21589. За даними The Register, у понеділок компанія надіслала користувачам електронного листа із заголовком «Action required», що містить посилання на її бюлетень безпеки. The Register повідомляє, що вразливість має оцінку критичності 9.3.

Йдеться про вразливість довільного доступу до файлів. У попередженні Atlassian, яке цитують обидва видання, сказано, що зловмисник, який не виконав вхід, може отримати доступ до певних файлів у кореневому каталозі вебзастосунку в уражених версіях. Є обмеження: зловмисник має заздалегідь знати точну назву файлу та шлях до нього, а вразливість не можна використати для перегляду вмісту каталогу. Atlassian також попереджає, що деякі конфігурації можуть містити чутливі файли, що підвищує ризик.

Уражено Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo і Crowd у редакціях Data Center, а також Crucible і Fisheye. BleepingComputer наводить перелік випусків, у яких проблему усунено; усі попередні версії вразливі. Це Bitbucket 9.4.26, 10.2.8 і 10.5.1; Confluence 9.2.26 і 10.2.19; Jira Service Management 5.12.40, 10.3.26 і 11.3.12; Jira Software 9.12.40, 10.3.26 і 11.3.12; Bamboo 10.2.24 і 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 і 7.2.4; а також Crucible і Fisheye 4.9.15.

Адміністраторам, які не можуть оновитися негайно, радять заблокувати доступ із зовнішньої мережі, навіть для доступних з інтернету екземплярів, що вимагають від користувачів входу. За даними BleepingComputer, у попередженні також перелічено тимчасові заходи захисту: правило web application firewall (WAF) або проксі, що блокує вказані в бюлетені шаблони обходу каталогів, правила Tomcat RewriteValve для Confluence, Jira, Jira Service Management, Bamboo і Crowd, а також правило перезапису URL для Bitbucket. Кожну з цих змін потрібно застосувати на всіх вузлах кластера, зокрема на дзеркалах і вузлах mirror farm у Bitbucket.

Atlassian заявляє, що наразі не має доказів того, що вразливість експлуатують. Утім компанія просить адміністраторів перевірити журнали доступу на наявність описаних нею шаблонів обходу й каже, що не може визначити, чи було скомпрометовано конкретний екземпляр клієнта, тож клієнтам із власним розміщенням варто залучити власну команду безпеки. Клієнтам хмари Atlassian нічого робити не потрібно, оскільки компанія вже виправила свій хмарний сервіс.