Critical Atlassian Flaw Lets Unauthenticated Attackers Read Known Files Across 8 Products
The Hacker News · 6 oct, 08:58
Atlassian ha divulgado una vulnerabilidad crítica (CVE-2026-21589, CVSS 9,3) en 8 productos Data Center auto-alojados que permite a atacantes sin autenticación leer archivos específicos en el directorio raíz de la aplicación web si conocen su ruta exacta. Los productos afectados son Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible y Fisheye. Atlassian ha publicado versiones corregidas para cada producto y recomienda actualizar inmediatamente o tomar las instancias sin conexión hasta aplicar el parche.
La vulnerabilidad es una travesía de ruta que permite leer archivos específicos sin listar el contenido del directorio. El atacante debe conocer la ruta exacta del archivo objetivo. Atlassian ha publicado versiones corregidas para todos los productos: Bitbucket Data Center 9.4.26, 10.2.8, 10.5.1; Confluence Data Center 9.2.26, 10.3.19; Jira Software Data Center 9.12.40, 10.3.26, 11.3.12; Jira Service Management Data Center 5.12.40, 10.3.26, 11.3.12; Bamboo Data Center 10.2.24, 12.1.12; Crowd Data Center 6.3.7, 7.0.3, 7.1.7, 7.2.4; Crucible 4.9.15; Fisheye 4.9.15. Los productos en la nube ya están parcheados.
Como mitigación temporal, Atlassian proporciona tres reglas de bloqueo que impiden solicitudes con .. adyacente a /, \ o :: en la URL. Para la mayoría de productos se puede aplicar una regla en WAF o proxy inverso, mientras que Confluence, Jira, Bamboo y Crowd permiten además una regla RewriteValve en Tomcat, y Bitbucket una regla en urlrewrite.xml. Atlassian no ha encontrado evidencia de explotación activa en productos en la nube y recomienda a clientes buscar en los registros de acceso intentos de travesía de ruta.
Puntos clave
- CVE-2026-21589 afecta 8 productos Atlassian Data Center: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible y Fisheye
- Actualiza cada producto a las versiones indicadas (Bitbucket 9.4.26+, Confluence 9.2.26+, Jira 9.12.40+ o 10.3.26+, etc.)
- Mitigación temporal: bloquea URLs con .. junto a /, \ o :: usando WAF, proxy inverso o reglas Tomcat/urlrewrite según el producto
- Busca en registros de acceso intentos de travesía de ruta decodificando URLs hasta 2 veces
- Toma instancias sin conexión de Internet hasta aplicar parche si no puedes actualizar inmediatamente