Atlassian 修复 Jira、Confluence 及其他 Data Center 产品中的严重文件访问漏洞

Atlassian 已要求其自托管 Data Center 产品的客户安装安全更新，以修复编号为 CVE-2026-21589 的严重漏洞。据 The Register 报道，该公司周一向用户发送了一封标题为“Action required”的电子邮件，其中附有其安全公告的链接。The Register 报道称，该漏洞的严重性评分为 9.3。

该缺陷属于任意文件访问漏洞。两家媒体均引用的 Atlassian 公告称，在受影响版本中，未登录的攻击者可以访问 Web 应用程序根目录内的特定文件。不过存在一个限制：攻击者必须事先知道文件的确切名称和路径，且该漏洞无法用于列出目录内容。Atlassian 还警告称，某些配置中可能存有敏感文件，这会增加风险。

受影响的产品包括 Data Center 版的 Bitbucket、Confluence、Jira Service Management、Jira Software、Bamboo 和 Crowd，以及 Crucible 和 Fisheye。BleepingComputer 列出了修复该问题的版本；此前的所有版本均存在漏洞。这些版本是：Bitbucket 9.4.26、10.2.8 和 10.5.1；Confluence 9.2.26 和 10.2.19；Jira Service Management 5.12.40、10.3.26 和 11.3.12；Jira Software 9.12.40、10.3.26 和 11.3.12；Bamboo 10.2.24 和 12.1.12；Crowd 6.3.7、7.0.3、7.1.7 和 7.2.4；以及 Crucible 和 Fisheye 4.9.15。

建议无法立即升级的管理员阻止外部网络访问，即使是要求用户登录的面向互联网的实例也不例外。据 BleepingComputer 报道，公告还列出了临时缓解措施：使用 web application firewall (WAF) 或代理规则拦截公告中指出的路径遍历模式；为 Confluence、Jira、Jira Service Management、Bamboo 和 Crowd 配置 Tomcat RewriteValve 规则；为 Bitbucket 配置 URL 重写规则。上述每项更改都必须应用于所有集群节点，包括 Bitbucket 的镜像和 mirror farm 节点。

Atlassian 表示，目前没有证据表明该漏洞正遭到利用。不过，该公司仍要求管理员检查访问日志中是否存在其描述的路径遍历模式，并表示无法判断某个客户实例是否已遭入侵，因此自托管客户应让自己的安全团队参与处理。Atlassian 云端客户无需采取任何行动，因为该公司已为其托管服务打上补丁。