在8个Atlassian Data Center产品中存在一个关键漏洞，客户自行托管的这些产品允许没有登录权限的攻击者读取每个产品的Web应用程序根目录中的特定文件。
攻击者必须已经知道文件的确切名称和路径，无法列出目录中的内容。Atlassian在10月5日披露了该漏洞，CVE-2026-21589，评级为9.3分（满分10分），并列出了每个产品的修复版本。
Web应用程序根目录是服务器上存放Web应用程序本身的文件夹。在某些配置中，它可能包含敏感文件，这增加了风险，Atlassian指出。
受该漏洞影响的Atlassian云产品已经修补，云客户无需采取任何行动。
Atlassian建议无法一次性升级的客户在可能的情况下将实例下线。任何可以从公共互联网访问的实例，包括需要登录的实例，都应限制外部网络访问，直到升级或实施临时阻止规则。
受影响的产品和修复版本
该漏洞影响所有8个产品在以下列出的修复版本之前的所有版本。根据Atlassian的说法，这可能包括已达到生命周期终止的版本，建议升级到修复的长期支持（LTS）版本或更高版本。
截至10月6日，Atlassian列出了以下修复版本：
产品
修复版本
Bitbucket Data Center
9.4.26, 10.2.8, 10.5.1
Confluence Data Center
9.2.26, 10.2.19
Jira Software Data Center
9.12.40, 10.3.26, 11.3.12
Jira Service Management Data Center
5.12.40, 10.3.26, 11.3.12
Bamboo Data Center
10.2.24, 12.1.12
Crowd Data Center
6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible
4.9.15
Fisheye
4.9.15
对于Crowd的7.1分支，工单的修复版本字段显示为7.1.7。同一工单中的表格显示为7.1.6，该版本也被列为受影响版本。
Atlassian提交的CVE记录为2个产品提供了不同的编号。对于Crowd，它列出了7.1.1，而Crowd 7.1的发行说明日期为2025年11月27日，早于漏洞披露超过10个月。对于Bamboo，一个字段显示为10.2.4，而记录本身的描述则显示为10.2.24。
CVE记录还列出了这些产品的服务器版本，Atlassian的旧自托管系列，建议中未提及。它标记了所有版本的Bamboo Server、Bitbucket Server、Confluence Server和Crowd Server为受影响，并未列出修复版本。
对于Jira Software Server，记录列出了9.12.40及以上版本为未受影响，Jira Service Management Server为5.12.40及以上版本，Crucible Server和Fisheye Server为4.9.15及以上版本。它没有说明服务器许可证是否可以运行这些版本。
根据Atlassian的Crowd发行说明，自2023年9月以来，Crowd没有发布服务器版本，因此没有任何修复的Crowd版本是服务器版本。
如果您暂时无法升级
Atlassian在CVE记录中将该漏洞标记为路径遍历。在路径遍历中，请求使用特制的文件路径访问不应访问的文件。
Atlassian描述了3个临时阻止规则，它称之为缓解措施。所有3个规则阻止URL中包含..直接紧挨/、\或::的请求，包括URL编码形式。
适用的规则取决于产品：
所有8个产品：在Web应用程序防火墙（WAF）或反向代理上设置的规则，阻止匹配的URL。
Confluence、Jira Software、Jira Service Management、Bamboo和Crowd：在每个节点上安装的Tomcat RewriteValve规则，必须关闭并重启。
Bitbucket：在urlrewrite.xml中的规则，应用于每个节点、镜像和镜像农场节点，随后进行重启。
Crucible和Fisheye仅有第一个选项。建议中提供了每个规则和文件更改的信息。
Atlassian在其产品工单中表示，这些缓解措施“是有限的，不能替代对实例的修补”。
检查过去的访问
Atlassian表示，其受影响的云产品已经修补，调查未发现利用证据。Bitbucket Cloud不受影响。
建议中未说明是否已观察到对自托管实例的攻击。“Atlassian无法确认您的实例是否受此漏洞影响，”它表示。
它告诉客户让他们的安全团队搜索访问日志。一种方法是对每个请求行进行URL解码，最多2次，并查找..直接紧挨/、\或::。另一种方法是对原始日志行运行Atlassian的阻止模式。
建议中未解释如何区分失败的尝试与返回文件的请求，或者在升级后遇到此类请求的客户应采取何种措施。
攻击者之前曾在Atlassian产品中利用过这种漏洞。CVE-2021-26086是Jira Server和Data Center中的路径遍历漏洞，允许远程攻击者读取特定文件。美国网络安全和基础设施安全局（CISA）于2024年11月12日将其添加到已知利用漏洞的目录中。
Atlassian如何评估该漏洞
9.3的评级使用了通用漏洞评分系统（CVSS）第4.0版，并且是Atlassian自己的评分。该公司告诉客户根据其环境判断适用性。
该评分将该漏洞评为可以在没有权限或用户操作的情况下通过网络访问。它将对易受攻击系统的机密性影响评为高，对其完整性和可用性评为无，对其他系统的影响评为高。
建议中未识别敏感文件或包含它们的配置，也未解释其他系统的高评级。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，以阅读更多我们发布的独家内容。