Критична уязвимост в Atlassian позволява на неавтентифицирани атакуващи да четат известни файлове в 8 продукта

Критична уязвимост в 8 продукта на Atlassian Data Center, които клиентите хостват самостоятелно, позволява на атакуващ без достъп за вход да чете конкретни файлове в основната директория (root) на уеб приложението на всеки продукт.

Атакуващият трябва предварително да знае точното име и път до файла и не може да изброява съдържанието на директорията. Atlassian разкри уязвимостта CVE-2026-21589 на 5 октомври, оцени я с 9.3 от 10 и публикува коригирана версия за всеки продукт.

Основната директория на уеб приложението е папката на сървъра, която съдържа самото уеб приложение. Според Atlassian при някои конфигурации тя може да съдържа чувствителни файлове, което увеличава риска.

Облачните продукти на Atlassian, засегнати от уязвимостта, вече са обновени и не се изисква никакво действие от страна на облачните клиенти.

Atlassian съветва клиентите, които не могат да извършат обновяване наведнъж, да спрат съответната инстанция, ако е възможно. Всяка инстанция, достъпна от публичния интернет, включително такава, която изисква вход, трябва да бъде ограничена от външен мрежов достъп, докато не бъде обновена или не бъде въведено временно правило за блокиране.

Засегнати продукти и коригирани версии

Уязвимостта засяга всички версии на 8-те продукта преди посочените по-долу коригирани версии. Според Atlassian това може да включва и версии, чиято поддръжка е прекратена (end of life), поради което се препоръчва обновяване до коригирана версия с дългосрочна поддръжка (LTS) или по-нова.

Atlassian посочва следните коригирани версии към 6 октомври:

За клона 7.1 на Crowd полето за коригирана версия в тикета посочва 7.1.7. Таблица в същия тикет показва 7.1.6, която също е вписана като засегната версия.

Записът за CVE, подаден от Atlassian, съдържа различни номера за 2 от продуктите. За Crowd е посочена 7.1.1, която според бележките към версията на Crowd 7.1 датира от 27 ноември 2025 г. – повече от 10 месеца преди разкриването на уязвимостта. За Bamboo едно от полетата посочва 10.2.4, докато в описанието на самия запис се споменава 10.2.24.

Записът за CVE включва и Server изданията на тези продукти – по-старата линия на Atlassian за самостоятелно хостване, която не е спомената в официалния бюлетин. Всички версии на Bamboo Server, Bitbucket Server, Confluence Server и Crowd Server са отбелязани като засегнати, без да са посочени коригирани версии за тях.

За Jira Software Server записът посочва версиите от 9.12.40 нататък като незасегнати, за Jira Service Management Server – от 5.12.40, а за Crucible Server и Fisheye Server – от 4.9.15. В него не се уточнява дали Server лицензите могат да работят с тези версии.

Crowd няма издавана Server версия от 5.2 през септември 2023 г., според бележките към версиите на Crowd, така че нито една от коригираните версии на Crowd не е Server издание.

Ако все още не можете да извършите обновяване

Atlassian класифицира уязвимостта като path traversal в CVE записа. При path traversal заявката използва специално съставен файлов път, за да достигне до файлове, до които не трябва да има достъп.

Atlassian описва 3 временни правила за блокиране, наречени мерки за смекчаване на риска. И трите блокират заявки, чийто URL съдържа .. непосредствено до /, \ или ::, включително и в URL-кодиран формат.

Приложимостта им зависи от продукта:

• Всички 8 продукта: правило в защитна стена за уеб приложения (WAF) или обратен прокси сървър (reverse proxy), което блокира съвпадащите URL адреси.
• Confluence, Jira Software, Jira Service Management, Bamboo и Crowd: правило за RewriteValve в Tomcat, инсталирано на всеки възел, което изисква спиране и рестартиране.
• Bitbucket: правило в urlrewrite.xml, приложено към всеки възел, огледален сървър и възел от огледална фарма, последвано от рестартиране.

Crucible и Fisheye разполагат само с първата опция. Бюлетинът предоставя правилото и промените във файловете за всяка от тях.

Мерките за смекчаване на риска „са ограничени и не заместват инсталирането на корекции за сигурност на вашата инстанция“, посочва Atlassian в тикетите за продуктите.

Проверка за неоторизиран достъп в миналото

От Atlassian заявиха, че техните засегнати облачни продукти са обновени и че разследването не е открило доказателства за злоупотреба. Bitbucket Cloud не е засегнат.

В бюлетина не се съобщава дали са наблюдавани атаки срещу самостоятелно хоствани инстанции. „Atlassian не може да потвърди дали вашите инстанции са били засегнати от тази уязвимост“, се казва в него.

Компанията препоръчва на клиентите техните екипи по сигурност да прегледат логовете за достъп. Един от методите е да се декодира URL адресът на всеки ред от заявката до 2 пъти и да се търси .. непосредствено до /, \ или ::. Другият метод е да се приложи шаблонът за блокиране на Atlassian върху необработените редове от логовете.

Бюлетинът не обяснява как да се разграничи неуспешен опит от заявка, която е върнала файл, нито какво трябва да предприеме клиент, открил подобни заявки, след като извърши обновяване.

Киберпрестъпници и преди са се възползвали от подобен тип уязвимост в продукт на Atlassian. CVE-2021-26086 е уязвимост от тип path traversal в Jira Server и Data Center, която позволява на отдалечени атакуващи да четат конкретни файлове. Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) я добави към своя каталог с известни експлоатирани уязвимости на 12 ноември 2024 г.

Как Atlassian оценява уязвимостта

Оценката 9.3 използва версия 4.0 на общата система за оценка на уязвимости (CVSS) и е определена самостоятелно от Atlassian. Компанията препоръчва на клиентите да преценят как тя се прилага за тяхната среда.

Оценката определя уязвимостта като достъпна по мрежата без необходимост от привилегии или действие от страна на потребителя. Въздействието върху поверителността на уязвимата система е оценено като високо, върху нейната цялост и достъпност – като отсъстващо, а върху други системи – като високо.

Бюлетинът не идентифицира конкретните чувствителни файлове или конфигурациите, които ги съдържат, нито обяснява високата оценка за въздействие върху други системи.