Критическая уязвимость в 8 продуктах Atlassian Data Center, которые клиенты размещают самостоятельно, позволяет злоумышленнику без доступа к учетной записи читать определенные файлы в корневом каталоге веб-приложения каждого продукта.
Злоумышленник должен заранее знать точное имя и путь к файлу и не может перечислить содержимое каталога. Atlassian раскрыла уязвимость, CVE-2026-21589, 5 октября, оценила ее в 9.3 из 10 и указала исправленную версию для каждого продукта.
Корневой каталог веб-приложения — это папка на сервере, которая содержит само веб-приложение. В некоторых конфигурациях он может содержать конфиденциальные файлы, что увеличивает риск, согласно Atlassian.
Облачные продукты Atlassian, затронутые уязвимостью, уже были исправлены, и клиентам облака не нужно предпринимать никаких действий.
Atlassian советует клиентам, которые не могут обновить все сразу, отключить экземпляр от сети, если это возможно. Любой экземпляр, доступный из публичного интернета, включая тот, который требует входа в систему, должен быть ограничен в доступе из внешней сети до тех пор, пока он не будет обновлен или не будет установлено временное правило блокировки.
Затронутые продукты и исправленные версии
Уязвимость затрагивает все версии 8 продуктов до исправленных версий, указанных ниже. Это может включать версии, которые достигли конца срока службы, согласно Atlassian, которая рекомендует обновляться до исправленной версии долгосрочной поддержки (LTS) или более поздней.
Atlassian указала эти исправленные версии по состоянию на 6 октября:
Продукт
Исправленные версии
Bitbucket Data Center
9.4.26, 10.2.8, 10.5.1
Confluence Data Center
9.2.26, 10.2.19
Jira Software Data Center
9.12.40, 10.3.26, 11.3.12
Jira Service Management Data Center
5.12.40, 10.3.26, 11.3.12
Bamboo Data Center
10.2.24, 12.1.12
Crowd Data Center
6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible
4.9.15
Fisheye
4.9.15
Для ветки Crowd 7.1 поле версии исправления в тикете указало 7.1.7. Таблица в том же тикете показала 7.1.6, которая также была указана как затронутая версия.
Запись CVE, поданная Atlassian, указала разные номера для 2 продуктов. Для Crowd она указала 7.1.1, что соответствует примечаниям о выпуске Crowd 7.1 от 27 ноября 2025 года, более чем за 10 месяцев до раскрытия уязвимости. Для Bamboo одно поле указало 10.2.4, в то время как собственное описание записи сказало 10.2.24.
Запись CVE также указала серверные версии этих продуктов, более старую линию самохостинга Atlassian, о которой в уведомлении не упоминалось. Она отметила каждую версию Bamboo Server, Bitbucket Server, Confluence Server и Crowd Server как затронутую и не указала исправленные версии для них.
Для Jira Software Server запись указала версии от 9.12.40 как не затронутые, для Jira Service Management Server от 5.12.40, а для Crucible Server и Fisheye Server от 4.9.15. Не было указано, могут ли лицензии Server работать с этими версиями.
Crowd не имела серверного выпуска с версии 5.2 в сентябре 2023 года, согласно примечаниям о выпуске Crowd от Atlassian, поэтому ни одна из исправленных версий Crowd не является серверными выпусками.
Если вы не можете обновиться еще
Atlassian обозначает уязвимость как обход пути в записи CVE. При обходе пути запрос использует специально построенный путь к файлу, чтобы получить доступ к файлам, к которым он не должен иметь доступа.
Atlassian описывает 3 временных правила блокировки, которые она называет смягчениями. Все 3 блокируют запросы, URL которых содержит .. непосредственно рядом с /, \ или ::, включая закодированные формы URL.
Какие из них применимы, зависит от продукта:
Все 8 продуктов: правило на веб-аппликационном файрволе (WAF) или обратном прокси, которое блокирует совпадающие URL.
Confluence, Jira Software, Jira Service Management, Bamboo и Crowd: правило Tomcat RewriteValve, установленное на каждом узле, которое должно быть отключено и перезапущено.
Bitbucket: правило в urlrewrite.xml, применяемое к каждому узлу, зеркалу и узлу зеркальной фермы, за которым следует перезапуск.
Crucible и Fisheye имеют только первый вариант. Уведомление дает правило и изменения файла для каждого из них.
Смягчения "ограничены и не являются заменой для патча вашего экземпляра", говорит Atlassian в своих продуктах.
Проверка на прошлый доступ
Atlassian заявила, что ее затронутые облачные продукты были исправлены и что ее расследование не обнаружило доказательства эксплуатации. Bitbucket Cloud не затронут.
Уведомление не говорит, были ли зафиксированы атаки на самохостинг. "Atlassian не может подтвердить, были ли ваши экземпляры затронуты этой уязвимостью", говорится в нем.
Компания рекомендует клиентам, чтобы их команды безопасности проверили журналы доступа. Один из методов — декодировать каждую строку запроса URL до 2 раз и искать .. непосредственно рядом с /, \ или ::. Другой — запустить шаблон блокировки Atlassian по сырым строкам журнала.
Уведомление не объясняет, как отличить неудачную попытку от запроса, который вернул файл, или что еще должен делать клиент, столкнувшийся с такими запросами после обновления.
Злоумышленники уже использовали подобную уязвимость в продукте Atlassian. CVE-2021-26086 — это уязвимость обхода пути в Jira Server и Data Center, которая позволяет удаленным злоумышленникам читать определенные файлы. Агентство кибербезопасности и инфраструктурной безопасности США (CISA) добавило ее в свой каталог известных эксплуатируемых уязвимостей 12 ноября 2024 года.
Как Atlassian оценила уязвимость
Оценка 9.3 использует версию 4.0 Общей системы оценки уязвимостей (CVSS) и является собственной оценкой Atlassian. Компания советует клиентам оценить, как это применимо к их среде.
Оценка оценивает уязвимость как доступную через сеть без привилегий или действий пользователя. Она оценивает влияние на конфиденциальность уязвимой системы как высокое, ее целостность и доступность как отсутствующие, а на другие системы как высокое.
Уведомление не указывает конфиденциальные файлы или конфигурации, которые их содержат, и не объясняет высокую оценку для других систем.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.