Atlassian hat Sicherheitsupdates für eine kritische Schwachstelle veröffentlicht, die mehrere selbst gehostete Produkte betrifft, darunter Jira, Confluence und Bitbucket. Die Atlassian-Schwachstelle beim Dateizugriff, die als CVE-2026-21589 verfolgt wird, ermöglicht es nicht authentifizierten Angreifern, auf bestimmte Dateien im Web-Stammverzeichnis einer Anwendung zuzugreifen.
Für eine Ausnutzung sind jedoch Vorkenntnisse über den genauen Namen und Pfad der Zieldatei erforderlich. Die Schwachstelle ermöglicht es Angreifern nicht, Verzeichnisse zu durchsuchen oder deren Inhalte aufzulisten.
Atlassian erklärt, dass dem Unternehmen derzeit keine Hinweise auf eine aktive Ausnutzung vorliegen. Dennoch fordert es Administratoren dazu auf, betroffene Installationen umgehend zu aktualisieren.
Schwachstelle ermöglicht Dateizugriff ohne Anmeldung
Die Schwachstelle betrifft Dateien im Stammverzeichnis der Webanwendung anfälliger Installationen. Ein Angreifer benötigt kein authentifiziertes Konto, um sie auszunutzen.
Die Anforderung, den genauen Speicherort einer Datei zu kennen, schränkt jedoch ein, was ein Angreifer abrufen kann. Der Sicherheitshinweis beschreibt keinen uneingeschränkten Zugriff auf sämtliche Dateien des zugrunde liegenden Servers.
Diese Unterscheidung ist bei der Bewertung der möglichen Auswirkungen wichtig. Das Problem ermöglicht den Zugriff auf bestimmte Anwendungsdateien und nicht das allgemeine Durchsuchen von Verzeichnissen.
Sicherheitsupdates decken acht Produktlinien ab
Atlassian nennt die folgenden Versionen als Fehlerbehebungen für die Schwachstelle in den betroffenen Produktzweigen:
| Produkt | Behobene Versionen |
|---|---|
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Administratoren sollten ihr installiertes Produkt und den jeweiligen Versionszweig mit der entsprechenden behobenen Version vergleichen.
Cloud-Kunden müssen hingegen keine Maßnahmen ergreifen. Atlassian erklärt, dass die erforderlichen Fehlerbehebungen bereits auf seine Cloud-Produkte angewendet wurden.
Vorübergehende Maßnahmen können die Gefährdung begrenzen
Falls ein sofortiges Patchen nicht möglich ist, empfiehlt Atlassian, den externen Netzwerkzugriff auf betroffene Installationen einzuschränken. Dies gilt auch für mit dem Internet verbundene Dienste, bei denen sich Nutzer normalerweise anmelden müssen.
Der Sicherheitshinweis beschreibt außerdem vorübergehende Filtermaßnahmen, die bestimmte Traversal-Muster blockieren sollen.
Dazu gehören Web-Application-Firewall- oder Proxy-Regeln für die betroffenen Produkte. Zu den produktspezifischen Optionen gehören Tomcat-RewriteValve-Regeln für Confluence, Jira Service Management, Jira, Bamboo und Crowd sowie eine URL-Rewrite-Regel für Bitbucket.
Administratoren müssen die entsprechenden Änderungen jedoch auf jedem Cluster-Knoten anwenden. Bei Bitbucket-Bereitstellungen müssen außerdem Mirrors und Mirror-Farm-Knoten abgedeckt werden.
Diese Maßnahmen bieten vorübergehenden Schutz, während Administratoren Updates für die Atlassian-Schwachstelle beim Dateizugriff vorbereiten.
Administratoren sollen Zugriffsprotokolle überprüfen
Obwohl Atlassian keine aktive Ausnutzung festgestellt hat, empfiehlt das Unternehmen, Zugriffsprotokolle auf die in seinem Bulletin beschriebenen Traversal-Muster zu überprüfen.
Das Unternehmen kann nicht feststellen, ob einzelne von Kunden verwaltete Installationen kompromittiert wurden. Daher sollten Organisationen, die selbst gehostete Produkte betreiben, ihre Sicherheitsteams bei der Überprüfung einer möglichen Gefährdung einbeziehen.
Die Installation einer behobenen Version beseitigt die Schwachstelle. Unabhängig davon kann die Überprüfung historischer Zugriffsprotokolle Teams dabei helfen, verdächtige Anfragen zu identifizieren, die vor dem Update gestellt wurden.
0 Kommentare zu „Kritische Atlassian-Schwachstelle beim Dateizugriff führt zu Updates für Jira und Confluence“