Critica defectus in 8 productis Atlassian Data Center, quae clientes ipsi hospitant, permittit impugnatori sine accessu ad login legere specificos fines in directory radicis applicationis interretialis cuiusque producti.
Impugnator iam debet scire nomen exactum et viam finis et non potest enumerare quid directory contineat. Atlassian defectum, CVE-2026-21589, die 5 Octobris patefecit, eum 9.3 ex 10 aestimavit, et versionem fixam pro unoquoque producto enumeravit.
Directory radicis applicationis interretialis est folder in servo qui ipsam applicationem interretialem continet. In quibusdam configurationibus, potest continere fines sensibiles, quod secundum Atlassian periculum auget.
Producta nubis Atlassian quae defectum patiuntur iam sunt reparata, et clientes nubis nullam actionem capere debent.
Atlassian suadet clientibus qui non possunt simul omnia renovare ut si fieri potest, instans offline faciant. Quaelibet instans a publico interreti accessibilis, incluso illa quae login requirit, debet a accessu retis externi restringi donec renovetur vel regula temporalis obstructio in loco sit.
Producta Affecta et Versiones Fixae
Defectus omnes versiones 8 productorum ante versiones fixas infra enumeratas afficit. Id potest includere versiones quae finem vitae attigerunt, secundum Atlassian, quae suadet ad versionem fixam longi temporis subsidii (LTS) aut posteriorem renovare.
Atlassian has listed these fixed versions as of October 6:
Productum
Versiones Fixae
Bitbucket Data Center
9.4.26, 10.2.8, 10.5.1
Confluence Data Center
9.2.26, 10.2.19
Jira Software Data Center
9.12.40, 10.3.26, 11.3.12
Jira Service Management Data Center
5.12.40, 10.3.26, 11.3.12
Bamboo Data Center
10.2.24, 12.1.12
Crowd Data Center
6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible
4.9.15
Fisheye
4.9.15
Pro ramo 7.1 Crowd, campus versionis fixae ticket dixit 7.1.7. Tabula in eodem ticket ostendit 7.1.6, quod etiam ut versio affecta enumeratum est.
CVE recordum quod Atlassian submisit diversas numeros pro 2 productis dedit. Pro Crowd, 7.1.1 enumeravit, quod notas emissionis Crowd 7.1 ad diem 27 Novembris 2025 dat, plus quam 10 menses ante defectum patefactum. Pro Bamboo, unum campus dixit 10.2.4, dum descriptio ipsius recordi dixit 10.2.24.
CVE recordum etiam editiones Server horum productorum enumeravit, antiquum lineam ipsam hospitantem Atlassian, quam consilium non mentionavit. Omnes versiones Bamboo Server, Bitbucket Server, Confluence Server, et Crowd Server ut affectas notavit et nullas versiones fixas pro eis enumeravit.
Pro Jira Software Server, recordum versiones a 9.12.40 ut non affectas, pro Jira Service Management Server a 5.12.40, et pro Crucible Server et Fisheye Server a 4.9.15 enumeravit. Non dixit an licentiae Server illae versiones currere possint.
Crowd nullam emissionem Server habuit a versione 5.2 in Septembri 2023, secundum notas emissionis Crowd Atlassian, ita nullae versiones fixae Crowd emissiones Server sunt.
Si Non Potes Nunc Renovare
Atlassian defectum in recordo CVE ut transitus viae notat. In transitu viae, petitio usum specialiter constructum finem ad fines attingendos, quos non debet.
Atlassian 3 regulas temporarias obstructivas describit, quas mitigationes vocat. Omnes 3 petitiones quarum URL continet .. directe iuxta /, \ vel ::, incluso formis URL-encoded, obstruunt.
Quae applicentur pendet ex producto:
Omnia 8 producta: regula in firewall applicationis interretialis (WAF) vel proxy inverso quae URLs congruentes obstruunt.
Confluence, Jira Software, Jira Service Management, Bamboo et Crowd: regula Tomcat RewriteValve, in unoquoque nodo installata, quae claudenda et restituenda est.
Bitbucket: regula in urlrewrite.xml, ad omnem nodum, speculum et nodum speculi applicata, sequitur restart.
Crucible et Fisheye tantum primam optionem habent. Consilium dat regulam et mutationes file pro unoquoque.
Mitigationes "sunt limitatae et non substitutio pro patching tuae instanti," in suis ticketibus productorum dicit Atlassian.
Revisio Accessus Praeteriti
Atlassian dixit sua producta nubis affecta esse reparata et investigationem suam non invenisse indicia exploitationis. Bitbucket Cloud non afficitur.
Consilium non dicit an impugnationes in instanti ipsi hospitante visa sint. "Atlassian confirmare non potest si tuae instanti hac vulnerabilitate affectae sint," dicit.
Suadet clientibus ut turmas securitatis suas log accessus quaerant. Una methodus est URL-decodere singulas lineas petitionis, usque ad 2 tempora, et quaerere .. directe iuxta /, \ vel ::. Altera est currere pattern obstructivum Atlassian super lineas log rudium.
Consilium non explicat quomodo distinguere conatum defectum ab petitione quae finem reddidit, aut quid aliud client qui tales petitiones occurrit facere debet post renovationem.
Impugnatores hanc generis defectum in producto Atlassian antea exploitarunt. CVE-2021-26086 est vulnerabilitas transitus viae in Jira Server et Data Center quae permittit impugnatores remotos legere specificos fines. Agency Cybersecurity et Infrastructure Security (CISA) Civitatum Foederatarum eam ad catalogum vulnerabilitatum notorum exploitarum die 12 Novembris 2024 addidit.
Quomodo Atlassian Defectum Aestimavit
Aestimatio 9.3 versionem 4.0 Systematis Aestimandi Vulnerabilitatis Communis (CVSS) utitur et est propria Atlassian. Societas clientibus dicit ut iudicent quomodo id ad eorum ambitum applicet.
Punctum defectum ut accessibile per reticulum sine privilegiis vel actione usoris aestimat. Effectum in confidentialitate systematis vulnerabilis ut altum, integritatem et disponibilitatem ut nullum, et in aliis systematibus ut altum aestimat.
Consilium non identificat fines sensibiles aut configurationes quae ea continent, nec explicat altam aestimationem pro aliis systematibus.
Invenisti hanc artem interesting? Sequere nos in Google News, Twitter et LinkedIn ut plura contenta exclusiva legas quae publicamus.