Atlassian har utgitt sikkerhetsoppdateringer for en kritisk sårbarhet som påvirker flere selvhostede produkter, inkludert Jira, Confluence og Bitbucket. Atlassian-sårbarheten for filtilgang, sporet som CVE-2026-21589, gjør det mulig for uautentiserte angripere å få tilgang til bestemte filer i en applikasjons webrotkatalog.
Utnyttelse krever imidlertid forhåndskunnskap om målfilens nøyaktige navn og sti. Sårbarheten lar ikke angripere bla gjennom kataloger eller liste innholdet deres.
Atlassian sier at selskapet for øyeblikket ikke har bevis på aktiv utnyttelse. Likevel oppfordrer det administratorer til å oppdatere berørte installasjoner umiddelbart.
Sårbarheten gir filtilgang uten innlogging
Sårbarheten påvirker filer i webapplikasjonens rotkatalog på sårbare installasjoner. En angriper trenger ikke en autentisert konto for å utnytte den.
Kravet om å kjenne den nøyaktige plasseringen til en fil begrenser imidlertid hva en angriper kan hente ut. Sikkerhetsvarselet beskriver ikke ubegrenset tilgang til alle filer på den underliggende serveren.
Dette skillet er viktig når den potensielle påvirkningen vurderes. Problemet gir tilgang til bestemte applikasjonsfiler i stedet for generell kataloggjennomsøking.
Sikkerhetsoppdateringer dekker åtte produktlinjer
Atlassian identifiserer følgende utgivelser som rettelser for sårbarheten på tvers av de berørte produktgrenene:
| Produkt | Rettede versjoner |
|---|---|
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Administratorer bør kontrollere det installerte produktet og versjonsgrenen mot den relevante rettede versjonen.
Samtidig trenger ikke skykunder å foreta seg noe. Atlassian sier at selskapet allerede har tatt i bruk de nødvendige rettelsene i skyproduktene sine.
Midlertidige tiltak kan begrense eksponeringen
Hvis umiddelbar oppdatering ikke er mulig, anbefaler Atlassian å begrense ekstern nettverkstilgang til berørte installasjoner. Dette gjelder også internetteksponerte tjenester som normalt krever at brukere logger inn.
Sikkerhetsvarselet beskriver i tillegg midlertidige filtreringstiltak som er utformet for å blokkere spesifiserte traversal-mønstre.
Disse inkluderer regler for webapplikasjonsbrannmur eller proxy på tvers av de berørte produktene. Produktspesifikke alternativer inkluderer Tomcat RewriteValve-regler for Confluence, Jira Service Management, Jira, Bamboo og Crowd, samt en URL-omskrivingsregel for Bitbucket.
Administratorer må imidlertid ta i bruk de relevante endringene på hver node i klyngen. Bitbucket-installasjoner krever også at speil og noder i speilfarmer omfattes.
Disse tiltakene gir midlertidig beskyttelse mens administratorer sørger for oppdateringer for Atlassian-sårbarheten for filtilgang.
Administratorer oppfordres til å gjennomgå tilgangslogger
Selv om Atlassian ikke har identifisert aktiv utnyttelse, anbefaler selskapet å kontrollere tilgangslogger for traversal-mønstrene som er beskrevet i sikkerhetsbulletinen.
Selskapet kan ikke avgjøre om individuelle kundeadministrerte installasjoner har blitt kompromittert. Organisasjoner som kjører selvhostede produkter, bør derfor involvere sikkerhetsteamene sine når de vurderer mulig eksponering.
Installering av en rettet versjon utbedrer sårbarheten. Separat kan gjennomgang av historiske tilgangslogger hjelpe team med å identifisere mistenkelige forespørsler som ble gjort før oppdateringen.
0 responses to “Kritisk Atlassian-sårbarhet for filtilgang fører til oppdateringer for Jira og Confluence”