Atlassian, Jira, Confluence ve Bitbucket Data Center'da kritik dosya erişimi açığını kapattı
CVE-2026-21589, kimliği doğrulanmamış bir saldırganın web uygulaması kök dizinindeki belirli dosyalara erişmesine imkân veriyor. Kendi sunucusunda çalışan sekiz Atlassian ürünü için düzeltilmiş sürümler yayımlandı.
Atlassian, şirketlerin kendi altyapısında çalıştırdığı Data Center ürünlerini etkileyen kritik bir güvenlik açığı için uyarı yayımladı. CVE-2026-21589 kimlikli açık, kimliği doğrulanmamış bir saldırganın web uygulamasının kök dizinindeki belirli dosyalara erişmesine izin veriyor.
Açığın sınırları
Atlassian'ın açıklamasına göre istismar için saldırganın hedef dosyanın tam adını ve yolunu önceden bilmesi gerekiyor; açık, dizin içeriğinin listelenmesine imkân vermiyor. Yine de yapılandırma dosyaları gibi yolları tahmin edilebilir dosyalara erişim, sonraki saldırılar için değerli bilgiler sunabilir.
Reklam
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
Atlassian, açığın saldırılarda kullanıldığına dair bir kanıt görmediğini, ancak tek tek sunucuların ele geçirilip geçirilmediğini belirleyemeyeceğini belirtti. Bulut müşterileri için düzeltme otomatik olarak uygulandı.
Düzeltilmiş sürümler
| Ürün | Düzeltilmiş sürümler |
|---|---|
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible ve Fisheye | 4.9.15 |
Bu sürümlerden önce yayımlanan tüm sürümler etkileniyor.
Neden önemli?
Jira ve Confluence, kurumların proje bilgilerini, teknik belgelerini ve kimi zaman erişim bilgilerini barındırdığı merkezi platformlar. Confluence ve Jira'daki önceki kritik açıklar, yayımlanmalarının ardından kısa sürede devlet destekli gruplar ve fidye yazılım operatörleri tarafından istismar edilmişti. Bu nedenle özellikle internete açık Data Center kurulumlarının hızla güncellenmesi önem taşıyor.
Ne yapılmalı?
- Tüm Data Center kurulumları yukarıdaki düzeltilmiş sürümlere yükseltilmeli; Bitbucket aynaları ve ayna çiftlikleri dahil tüm küme düğümleri güncellenmeli.
- Hemen yama yapılamıyorsa harici ağ erişimi kısıtlanmalı, kimlik doğrulama gerektiren internete açık örnekler de buna dahil edilmeli.
- Atlassian'ın tarif ettiği dizin geçişi kalıplarını engelleyen WAF veya vekil sunucu kuralları ile Tomcat RewriteValve kuralları uygulanmalı.
- Erişim kayıtları, Atlassian bülteninde belirtilen geçiş kalıpları açısından geriye dönük incelenmeli.
