Atlassian закрывает критическую уязвимость доступа к файлам в Jira и Confluence

Компания Atlassian предупредила клиентов о критической уязвимости CVE-2026-21589, которая позволяет получить произвольный доступ к файлам в ряде самостоятельно размещаемых продуктов линейки Data Center, включая Confluence, Jira и Bitbucket.

Ошибка даёт неаутентифицированному злоумышленнику возможность обращаться к отдельным файлам внутри корневого каталога веб-приложения. Однако для эксплуатации необходимо заранее знать точное имя и путь к целевому файлу. Как подчёркивается в бюллетене безопасности, уязвимость не позволяет перечислять содержимое каталогов или просматривать их структуру.

Какие продукты затронуты

Уязвимость присутствует во всех версиях, выпущенных до исправленных релизов. Патчи получили Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, а также Crucible и Fisheye. Конкретные номера исправленных версий для каждого продукта приведены в официальном бюллетене.

Atlassian настоятельно рекомендует администраторам self-hosted инсталляций установить обновления немедленно. Клиентам облачных сервисов никаких действий предпринимать не нужно: вендор уже применил исправление автоматически.

Временные меры

Если оперативное обновление невозможно, компания советует ограничить внешний сетевой доступ к системам — в том числе к тем экземплярам, которые доступны из интернета и требуют аутентификации пользователей.

В качестве временных обходных мер предлагается добавить правило в межсетевой экран уровня приложений (WAF) или прокси, блокирующее определённые шаблоны обхода каталогов, настроить правила Tomcat RewriteValve для Confluence, JSM, Jira, Bamboo и Crowd либо правило переписывания URL для Bitbucket. Бюллетень содержит пошаговые инструкции и детали конфигурации. При этом изменения необходимо применить на каждом узле кластера, включая зеркала Bitbucket и узлы зеркальных ферм.

По данным Atlassian, признаков активной эксплуатации CVE-2026-21589 пока нет, однако администраторам советуют проверить журналы доступа на наличие описанных в бюллетене шаблонов обхода. Вендор отмечает, что не может определить, были ли скомпрометированы конкретные экземпляры клиентов, и призывает владельцев self-hosted систем обратиться к собственным службам безопасности.

Источник: Bleeping Computer