Уязвимость Atlassian позволяет читать файлы без аутентификации, её добавили в каталог CISA

Американское агентство CISA добавило уязвимость Atlassian в каталог KEV

Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло в каталог известных уязвимостей (KEV) уязвимость в продуктах Atlassian. Идентификатор уязвимости — CVE-2026-21589, её оценка CVSS составляет 9.3. CISA предписала федеральным агентствам устранить эту уязвимость до 18 октября 2026 года.

Уязвимость позволяет читать файлы без аутентификации

CVE-2026-21589 представляет собой критическую уязвимость произвольного доступа к файлам. Она позволяет неаутентифицированному злоумышленнику получать доступ к определённым файлам в корневом каталоге веб-приложения. Для эксплуатации требуется точное знание имени и пути к целевому файлу. Уязвимость не позволяет перечислять содержимое каталогов. В некоторых конфигурациях атака может привести к доступу к критически важным файлам.

Продукты Atlassian Data Center подвержены атакам

Уязвимость затрагивает продукты Atlassian Data Center: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible и Fisheye. Исследователи из watchTowr Labs обнаружили, что последовательности двойных двоеточий (::) могут интерпретироваться как разделители путей. Это позволяет злоумышленникам перемещаться по каталогам и читать файлы, к которым они не должны иметь доступа. В одном из случаев исследователи смогли прочитать файл crowd.properties, получив учётные данные приложения. Они использовали их для создания администратора Jira. Атаку можно заблокировать с помощью списков разрешённых IP-адресов Crowd.

Обновиться до исправленных версий или использовать инструмент проверки

Atlassian выпустила исправления для следующих версий продуктов: Bitbucket Data Center 9.4.26, 10.2.8, 10.5.1; Confluence Data Center 9.2.26, 10.2.19; Jira Service Management Data Center 5.12.40, 10.3.26, 11.3.12; Jira Software Data Center 9.12.40, 10.3.26, 11.3.12; Bamboo Data Center 10.2.24, 12.1.12; Crowd Data Center 6.3.7, 7.0.3, 7.1.7, 7.2.4; Crucible 4.9.15; Fisheye 4.9.15. Все версии, предшествующие указанным, считаются уязвимыми. watchTowr Labs предоставила бесплатный инструмент на GitHub для проверки серверов на уязвимость. Рекомендуется всем организациям, включая частные, проверить свою инфраструктуру и устранить уязвимость.