Критическая уязвимость в восьми продуктах Atlassian Data Center позволяет читать файлы без авторизации
Восемь продуктов Atlassian для самостоятельно размещаемых инсталляций (Data Center) содержат критическую уязвимость CVE-2026-21589 с рейтингом 9.3 из 10. Неаутентифицированный злоумышленник может прочитать отдельные файлы в корневой директории веб-приложения, если заранее знает их точное имя и путь. Уязвимость раскрыта 5 октября и затрагивает организацию, которая размещает продукты Atlassian на собственной инфраструктуре.
Подробности
Согласно раскрытой информации, для эксплуатации уязвимости злоумышленнику не требуется учётная запись или иные учётные данные — доступ осуществляется без аутентификации. Однако есть важное ограничение: атакующий должен заранее знать точное имя и путь целевого файла. Просмотреть содержимое директории или перечислить имеющиеся файлы он не может — то есть речь идёт о чтении конкретных заранее известных файлов, а не о свободном обзоре файловой системы. Atlassian раскрыла проблему 5 октября. Затронуты восемь продуктов линейки Data Center. Точный перечень версий и патчей в исходном сообщении не детализирован, поэтому организациям следует обратиться к официальному бюллетеню безопасности Atlassian для уточнения затронутых релизов и доступных обновлений. Присвоенный рейтинг 9.3 указывает на высокую степень опасности: даже при наличии ограничения по знанию точного пути к файлу подобный доступ может привести к утечке чувствительных данных, если злоумышленник располагает информацией о структуре приложения или типовых путях к конфигурационным файлам.Что делать
Организациям, использующим продукты Atlassian Data Center, рекомендуется: - Незамедлительно проверить наличие обновлений безопасности для развёрнутых продуктов и установить их в соответствии с рекомендациями вендора. - Свериться с официальным бюллетенем Atlassian по CVE-2026-21589, чтобы определить, входит ли ваша версия продукта в список затронутых. - Ограничить сетевой доступ к инсталляциям Data Center, где это возможно, чтобы снизить поверхность атаки для неаутентифицированных пользователей. - Провести анализ журналов на предмет подозрительных обращений к файлам в корневой директории веб-приложения. - Учитывать, что уязвимость не позволяет перечислять файлы, поэтому дополнительный контроль доступа и мониторинг остаются значимыми мерами защиты. Итог: критическая уязвимость CVE-2026-21589 в восьми продуктах Atlassian Data Center требует оперативной реакции — в первую очередь установки обновлений безопасности и проверки журналов доступа. Организациям стоит рассматривать этот инцидент как повод пересмотреть периметр защиты самостоятельно размещаемых сервисов.Источник: The Hacker News