Atlassian warns of critical file-access flaw in Jira, Confluence
BleepingComputer · 6 oct, 19:34
Atlassian alerta de una vulnerabilidad crítica (CVE-2026-21589) en Confluence, Jira, Bitbucket y otros productos Data Center self-hosted que permite a atacantes no autenticados acceder a archivos específicos del directorio raíz de la aplicación, aunque requiere conocer exactamente el nombre y la ruta del archivo. El vendedor ya ha lanzado parches para todas las líneas de productos y Cloud está ya protegida; se recomienda aplicar las actualizaciones inmediatamente o implementar mitigaciones temporales.
La vulnerabilidad afecta a todas las versiones anteriores a: Bitbucket Data Center 9.4.26, 10.2.8, 10.5.1; Confluence Data Center 9.2.26, 10.2.19; Jira Service Management Data Center 5.12.40, 10.3.26, 11.3.12; Jira Software Data Center 9.12.40, 10.3.26, 11.3.12; Bamboo Data Center 10.2.24, 12.1.12; Crowd Data Center 6.3.7, 7.0.3, 7.1.7, 7.2.4; Crucible 4.9.15; y Fisheye 4.9.15. El acceso requiere conocimiento previo de la ruta exacta, lo que impide enumeración de directorios.
Atlassian recomienda aplicar las actualizaciones inmediatamente o, si no es posible, implementar mitigaciones temporales: restricción de acceso de red externa, reglas en firewall de aplicación web (WAF) o proxy bloqueando patrones de traversal específicos, reglas RewriteValve de Tomcat, o reescritura de URLs. Actualmente no hay evidencia de explotación activa, pero se recomienda revisar logs de acceso en busca de los patrones descritos en el boletín.
Puntos clave
- Aplica parches en las versiones indicadas para cada producto Data Center
- Implementa mitigaciones temporales con WAF, reglas de proxy o RewriteValve si no puedes parchear inmediatamente
- Requiere conocimiento previo de ruta exacta, sin capacidad de enumeración de directorios
- Sin evidencia actual de explotación activa