Atlassian vá lỗi path traversal nghiêm trọng trên 8 sản phẩm Data Center
"Atlassian disclosed CVE-2026-21589, a critical path traversal flaw affecting 8 self-hosted Data Center products that can let unauthenticated attackers read specific files from the web application root directory if they know the exact file path. Atlassian released fixed versions for each affected product and advised customers to patch promptly or apply temporary blocking rules via WAF/reverse proxy, Tomcat RewriteValve, or urlrewrite.xml where applicable."
Rủi ro đọc lộ tệp nhạy cảm trên hệ thống self-hosted; kẻ tấn công không cần đăng nhập nếu biết đường dẫn tệp. Cần vá ngay hoặc áp dụng biện pháp chặn tạm thời.
Có thể ảnh hưởng đến tính bảo mật dữ liệu và yêu cầu ưu tiên thay đổi khẩn cấp trên nhiều hệ thống. Việc trì hoãn vá lỗi có thể làm tăng rủi ro tuân thủ và gián đoạn vận hành.
Atlassian đã công bố CVE-2026-21589, một lỗi path traversal mức nghiêm trọng ảnh hưởng đến 8 sản phẩm Data Center tự triển khai. Lỗ hổng cho phép kẻ tấn công không cần xác thực đọc một số tệp trong thư mục gốc của ứng dụng web nếu biết chính xác tên và đường dẫn tệp. Atlassian chấm điểm CVSS 9.3 và đã phát hành các phiên bản đã sửa cho từng sản phẩm bị ảnh hưởng.
Các sản phẩm liên quan gồm Bitbucket Data Center, Confluence Data Center, Jira Software Data Center, Jira Service Management Data Center, Bamboo Data Center, Crowd Data Center, Crucible và Fisheye. Atlassian lưu ý rằng các bản cloud đã được vá và không yêu cầu hành động từ khách hàng.
Nếu chưa thể nâng cấp ngay, Atlassian khuyến nghị áp dụng biện pháp tạm thời như WAF/reverse proxy, Tomcat RewriteValve hoặc urlrewrite.xml tùy sản phẩm, đồng thời hạn chế truy cập từ Internet hoặc đưa hệ thống offline nếu có thể. Các biện pháp này chỉ là tạm thời và không thay thế việc vá lỗi.
Đội vận hành nên kiểm tra log truy cập để tìm các yêu cầu có mẫu đường dẫn bất thường, đặc biệt là chuỗi chứa .. cạnh /, \\ hoặc :: sau khi giải mã URL. Với các hệ thống đã công khai, nên ưu tiên nâng cấp lên bản cố định sớm nhất để giảm rủi ro đọc lộ dữ liệu.