Atlassian har udgivet sikkerhedsopdateringer til en kritisk sårbarhed, der påvirker flere selvhostede produkter, herunder Jira, Confluence og Bitbucket. Atlassian-sårbarheden i filadgang, der spores som CVE-2026-21589, gør det muligt for uautentificerede angribere at få adgang til specifikke filer i en applikations webrodkatalog.
Udnyttelse kræver dog forhåndskendskab til målfilens præcise navn og sti. Sårbarheden gør det ikke muligt for angribere at gennemse mapper eller få vist deres indhold.
Atlassian siger, at virksomheden i øjeblikket ikke har beviser for aktiv udnyttelse. Ikke desto mindre opfordrer den administratorer til straks at opdatere berørte installationer.
Sårbarheden giver filadgang uden login
Sårbarheden påvirker filer i webapplikationens rodkatalog på sårbare installationer. En angriber behøver ikke en autentificeret konto for at udnytte den.
Kravet om at kende en fils præcise placering begrænser dog, hvad en angriber kan hente. Sikkerhedsmeddelelsen beskriver ikke ubegrænset adgang til alle filer på den underliggende server.
Denne forskel er vigtig ved vurderingen af den potentielle påvirkning. Problemet giver adgang til specifikke applikationsfiler frem for generel gennemgang af mapper.
Sikkerhedsopdateringer dækker otte produktlinjer
Atlassian identificerer følgende udgivelser som rettelser til sårbarheden på tværs af de berørte produktgrene:
| Produkt | Rettede versioner |
|---|---|
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Administratorer bør kontrollere deres installerede produkt og versionsgren i forhold til den relevante rettede version.
Samtidig behøver cloudkunder ikke at foretage sig noget. Atlassian siger, at virksomheden allerede har implementeret de nødvendige rettelser i sine cloudprodukter.
Midlertidige tiltag kan begrænse eksponeringen
Hvis øjeblikkelig opdatering ikke er mulig, anbefaler Atlassian at begrænse ekstern netværksadgang til berørte installationer. Dette gælder også interneteksponerede tjenester, der normalt kræver, at brugere logger ind.
Sikkerhedsmeddelelsen beskriver desuden midlertidige filtreringstiltag, der er designet til at blokere specificerede traversal-mønstre.
Disse omfatter regler for webapplikationsfirewalls eller proxyer på tværs af de berørte produkter. Produktspecifikke muligheder omfatter Tomcat RewriteValve-regler til Confluence, Jira Service Management, Jira, Bamboo og Crowd samt en URL-omskrivningsregel til Bitbucket.
Administratorer skal dog anvende de relevante ændringer på alle noder i klyngen. Bitbucket-installationer kræver også, at spejle og noder i spejlfarme omfattes.
Disse tiltag giver midlertidig beskyttelse, mens administratorer sørger for opdateringer til Atlassian-sårbarheden i filadgang.
Administratorer opfordres til at gennemgå adgangslogfiler
Selvom Atlassian ikke har identificeret aktiv udnyttelse, anbefaler virksomheden at kontrollere adgangslogfiler for de traversal-mønstre, der er beskrevet i sikkerhedsbulletinen.
Virksomheden kan ikke afgøre, om individuelle kundeadministrerede installationer er blevet kompromitteret. Derfor bør organisationer, der kører selvhostede produkter, involvere deres sikkerhedsteams, når de gennemgår mulig eksponering.
Installation af en rettet version afhjælper sårbarheden. Separat kan gennemgang af historiske adgangslogfiler hjælpe teams med at identificere mistænkelige forespørgsler, der blev foretaget før opdateringen.
0 svar til “Kritisk Atlassian-sårbarhed i filadgang fører til opdateringer til Jira og Confluence”