Een kritieke kwetsbaarheid in Atlassian zorgt ervoor dat kwaadwilligen bestanden kunnen uitlezen. De kwetsbaarheid is van toepassing op acht zelfgehoste Data Center-producten.
Atlassian waarschuwt gebruikers voor een nieuwe kwetsbaarheid waarmee aanvallers bestanden kunnen lezen, zelfs zonder in te loggen. De kwetsbaarheid, aangeduid als CVE-2026-21589, krijgt een score van 9,3 en kan dus bestempeld worden als kritiek. Ondertussen zijn er patches beschikbaar. Het gaat hierbij om acht zelfgehoste Data Center-producten van Atlassian. Klanten die Atlassian als clouddienst gebruiken, hoeven geen actie te ondernemen.
Willekeurige bestandstoegang
Deze kwetsbaarheid voor willekeurige bestandstoegang stelt een niet-geauthenticeerde aanvaller in staat om specifieke bestanden binnen de rootmap van de webapplicatie in getroffen versies te benaderen”, aldus Atlassian. Aanvallers dienen hiervoor wel de exacte naam en het pad van het doelbestand te kennen. “In sommige configuraties kunnen er gevoelige bestanden aanwezig zijn die je risico verhogen”, waarschuwt het bedrijf.
Volgende Data Center-producten lopen risico en vereisen onmiddellijke aandacht: Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible en Fisheye.
Patchen
Atlassian raadt gebruikers aan om elk van de getroffen installaties te patchen naar vaste versies of de nieuwste versie. Is patchen niet meteen mogelijk, dan raadt het bedrijf aan om je instance van het internet te verwijderen totdat je kunt patchen of mitigaties toepassen. “Instanties die toegankelijk zijn voor het publieke internet, inclusief die met gebruikersauthenticatie, moeten worden beperkt tot externe netwerktoegang totdat je actie kunt ondernemen.”
In de cloud is momenteel nog geen signaal van misbruik gemeld. “Atlassian kan niet bevestigen of jouw instanties door deze kwetsbaarheid zijn getroffen. Je moet je lokale beveiligingsteam inschakelen om alle getroffen gevallen te controleren op bewijs van een compromittering”, aldus het bedrijf.