İçeriğe geç
Menü

Atlassian'ın sekiz Data Center ürünündeki dosya okuma açığı saldırılarda kullanılıyor

Giriş gerektirmeyen açık, Jira, Confluence ve Bitbucket dahil sekiz üründe sunucudaki dosyaların okunmasına izin veriyor. Teknik ayrıntılar yayımlandıktan iki saat sonra istismar denemeleri başladı.

Kırmızı Ekip
  • Güncellendi:
  • 2 dk okuma
  • 5 kaynak

Kısaca

  • Atlassian 5 Ekim'de CVE-2026-21589'u kapattı. watchTowr'un 6 Ekim'de ayrıntıları yayımlamasından yaklaşık iki saat sonra istismar denemeleri görüldü.
  • Jira'da okunabilen bir yapılandırma dosyasıyla yönetici erişimine kadar gidilebildiği gösterildi. Bulut ürünleri Atlassian tarafından güncellendi.

Atlassian, şirket içinde kurulan sekiz ürününde giriş gerektirmeden dosya okunmasına izin veren kritik bir açığı 5 Ekim’de kapattı. CVE-2026-21589 numaralı açık Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo ve Crowd’un Data Center sürümlerini, ayrıca Crucible ve Fisheye’ı etkiliyor. Ürünlerin hepsi aynı kütüphaneyi kullandığı için açık hepsinde bulunuyor. CVSS 4.0 puanı 9.3.

Açık, kimliği doğrulanmamış bir saldırganın uygulamanın web dizinindeki belirli dosyaları okumasına izin veriyor. Saldırganın dosyanın tam adını ve yolunu bilmesi gerekiyor, dizin içeriği listelenemiyor. Ancak güvenlik şirketi watchTowr, Jira’da Crowd bağlantı bilgilerini tutan crowd.properties dosyasının okunabildiğini ve bu bilgilerle yönetici erişimine kadar gidilebildiğini gösterdi. watchTowr’un 6 Ekim’de ayrıntıları yayımlamasından yaklaşık iki saat sonra Previdian’ın tuzak sistemlerinde istismar denemeleri görüldü. watchTowr da gerçek sistemlere yönelik istismarı doğruladı. Şimdilik görülen etkinlik çoğunlukla ürün tespiti ve hassas dosya taraması. Atlassian’ın bulut ürünleri şirket tarafından güncellendi.

Düzeltilmiş sürümler

  • Jira Software Data Center: 9.12.40, 10.3.26, 11.3.12
  • Jira Service Management Data Center: 5.12.40, 10.3.26, 11.3.12
  • Confluence Data Center: 9.2.26, 10.2.19
  • Bitbucket Data Center: 9.4.26, 10.2.8, 10.5.1
  • Bamboo Data Center: 10.2.24, 12.1.12
  • Crowd Data Center: 6.3.7, 7.0.3, 7.1.7, 7.2.4
  • Crucible ve Fisheye: 4.9.15

Önerilen önlemler

Kullanılan seriye göre yukarıdaki sürüme ya da daha yenisine geçmek gerekiyor. Hemen güncellenemeyen sunucular internetten ayrılmalı ya da Atlassian’ın önerdiği geçici kurallardan biri uygulanmalı. Bunlar bir web uygulama güvenlik duvarı kuralı, Tomcat üzerinde bir engelleme kuralı ya da Bitbucket için urlrewrite.xml kuralı. Atlassian, sistemlerin daha önce etkilenip etkilenmediğini müşterilere doğrulayamadığını söylüyor. Bu yüzden güncellemeden sonra kayıtların incelenmesi, Jira’da crowd.properties içindeki bilgilerin ve yönetici hesaplarının değiştirilmesi yerinde olur.

Kaynaklar

Bu konuda