Atlassian严重漏洞波及八款企业核心产品

Atlassian数据中心软件新披露的一个严重漏洞影响范围异常广泛，波及该公司企业产品组合中的八款核心产品。

CVE-2026-21589漏洞的严重程度评级为9.3（严重级别），属于任意文件访问漏洞，可让未经身份验证的攻击者读取Web应用根目录中的文件，而这些文件本不应被外部访问，攻击者还可能将其用于恶意目的。

Atlassian在安全公告中表示，受影响的产品需要“立即关注”。客户应升级到最新的修复版本。该公司表示，目前尚未在其云产品中发现被利用的证据，云产品已完成修复。

这一漏洞令人尤为担忧的地方在于，它不需要身份验证或用户交互，且影响范围覆盖众多企业依赖的用于开发、协作和IT运营的Atlassian产品。

Info-Tech Research Group技术顾问埃里克·阿瓦基安表示：“从表面上看，任意文件访问可能听起来不如远程代码执行那么严重，但真正的问题在于攻击者可能借此获取什么。业务风险不仅仅是有人读取了一个文件，而是这些信息可能让攻击者接下来做什么。”

立即修复或隔离暴露的实例

该任意文件访问漏洞存在于Bamboo Data Center、Bitbucket Data Center、Confluence Data Center、Crowd Data Center、Crucible、Fisheye、Jira Service Management Data Center以及Jira Software Data Center的所有版本中。

该漏洞允许未经身份验证的攻击者访问Web应用根目录，即Web服务器包含核心结构和必需文件的基础文件夹。在某些配置中，该目录可能存在敏感文件，从而增加风险。

Info-Tech的阿瓦基安解释说：“如果该位置存在敏感文件，暴露的信息可能会助推一场范围更广的攻击。”

Atlassian表示，攻击者可利用路径遍历技术，访问Web根目录之外受限制的文件和目录。一个缓解因素是：攻击者必须已经知道文件的确切名称和路径，且无法进行目录列表查看。

对于暂时无法立即修复的用户，该公司建议将受影响实例从互联网上移除，并限制可通过互联网访问的实例与外部网络的连接。这包括需要身份验证的实例。安全专家迪克森指出，这是因为“登录页面对未经身份验证的漏洞毫无作用”。

Atlassian列出了三种临时缓解措施以阻止攻击者：

使用上述八款产品中任意一款的客户，可以在Web应用防火墙（WAF）或代理层应用规则。

另一个选项是，针对Bamboo、Confluence、Crowd、Jira Software和Jira Service Management，在数据中心集群的每个节点上使用Tomcat RewriteValve规则来阻止请求。随后应关闭并重启每个节点。而Bitbucket用户可以备份其实例，在urlrewrite.xml中编写规则，将其应用于每个节点、镜像节点和镜像集群节点，然后重启。

但Atlassian称这些缓解措施“作用有限，不能替代对实例进行修复”，并补充说该公司无法确认某家企业的实例是否已受到该漏洞的影响。该公司建议：“请联系本地安全团队，检查所有受影响的实例是否存在被入侵的证据。”

迪克森指出：“供应商无法告诉你是否曾被访问过，只有你自己的日志才能说明问题。”

可能解锁敏感信息的文件

迪克森特别指出，受影响产品清单颇值得关注：Bamboo负责构建和发布软件；Bitbucket存储源代码；Crowd管理身份验证和单点登录；Jira和Confluence则保存着公司的计划、服务台工单和文档。

他说：“这些就是通往王国的钥匙，攻击者深知这一点。”而要获取这些信息，他们不需要登录、不需要用户点击，也不需要任何特殊条件。

修复路径的特殊性也解释了为何一些客户的更新进度滞后：迪克森指出，Atlassian已不再提供二进制补丁，因此修复该漏洞意味着要迁移到新的维护版本。这是一个升级项目，而非简单的快速修复，每一个“暂时无法更新”的决定都意味着承担了相应风险。

但迪克森指出，这个漏洞最值得关注的细节也许是其评分向量。该漏洞对易受攻击服务器自身的完整性和可用性没有影响，但对后续系统的保密性、完整性和可用性评估为高影响。换句话说，Jira或Confluence服务器本身安然无损，但其文件所能解锁的系统却可能不然。

本质上，迪克森说，“这就像一个窃贼什么都没拿，只拿走了前门的钥匙串。”

成功利用该漏洞需要知道目标文件的确切名称和路径，且仅限于Web应用根目录，无法进行目录列表查看。他说：“这听起来门槛很高”，但“实际上比看起来要低得多”。

他指出，任何人都可以下载这些产品，从而准确了解文件的存放位置，而攻击者同样拥有安装指南。

此外，包含敏感文件的配置会增加企业的风险。迪克森指出：“经过多年的生产运行，一个Web根目录可能积累了配置文件、备份文件以及没人记得放在那里的凭据。一个可读取的秘密信息，就可能成为更大规模攻击的第一步。”

归根结底，该漏洞“只是”读取文件，但它读取的文件可能会打开其他一切，他说。“立即修复，如果今天无法修复，那就今天将其从互联网上断开。”他建议，随后筛选并搜索访问日志中已公布的路径遍历模式，并逐行解码。如果发现命中记录，就应假定文件已被读取。在此基础上，应轮换Web根目录中可能存放过的每一个凭据、令牌和密钥。

展望未来，Info-Tech的阿瓦基安建议，企业应尽可能减少对外暴露，并使用VPN、可信网络、网络分段或其他控制手段来限制访问。如果怀疑存在信息泄露，应轮换敏感凭据或密钥。

不过他指出：“这些都是补偿性控制措施，它们确实能为你争取时间，但不应被视为获取经过测试和验证的修复版本的替代方案。”

本文最初发表于CSOonline。

Q&A

Q1：CVE-2026-21589漏洞具体会影响哪些产品？

A：该漏洞影响Bamboo Data Center、Bitbucket Data Center、Confluence Data Center、Crowd Data Center、Crucible、Fisheye、Jira Service Management Data Center以及Jira Software Data Center这八款Atlassian数据中心产品的所有版本。

Q2：这个漏洞是否需要攻击者先登录才能利用？

A：不需要。该漏洞不要求身份验证或用户交互，未经授权的攻击者就能利用它读取Web应用根目录中本不应被外部访问的文件。

Q3：如果暂时无法立即打补丁，企业应该怎么做？

A：Atlassian建议将受影响实例从互联网上移除，限制外部网络访问，并可临时使用WAF规则、Tomcat RewriteValve规则或urlrewrite.xml规则进行缓解，但这些措施不能替代正式修复。