Atlassian opravuje kritickou chybu v osmi produktech Data Center

Atlassian vyzval uživatele osmi produktů Data Center k okamžité aktualizaci kvůli chybě CVE-2026-21589. Chyba má hodnocení závažnosti 9,3 a umožňuje nepřihlášenému útočníkovi získat konkrétní soubory.

Chyba se týká produktů Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible a Fisheye ve variantě Data Center. Tyto produkty zákazníci provozují na vlastní infrastruktuře, nikoli v cloudové službě Atlassianu. Zasažené jsou pouze některé verze. Jejich konkrétní čísla uvádí bezpečnostní upozornění Atlassianu.

Útočník nepotřebuje uživatelský účet, musí však znát přesný název souboru a jeho cestu. Chyba mu neumožňuje procházet obsah adresářů. Vyšší riziko představují konfigurace, ve kterých jsou citlivé soubory uložené v kořenovém adresáři webové aplikace.

Atlassian vydal opravené verze. Pokud aktualizaci nelze provést ihned, doporučuje instanci odpojit od veřejného internetu nebo omezit externí síťový přístup. To platí i pro instance, jejichž přístup chrání přihlášení. Bezpečnostní upozornění obsahuje také dočasná opatření a postup, podle kterého lze ověřit, zda konkrétní instance opravu potřebuje.

Cloudové verze Atlassianu už jsou opravené a jejich uživatelé nemusejí nic dělat. Atlassian zároveň plánuje ukončit software Data Center a soustředit se na cloudové služby. Kontrolu dotčených instalací však není vhodné odkládat do běžného servisního okna. Veřejně dostupná instance může zpřístupnit citlivý soubor bez prolomení hesla. Správci by proto měli ověřit používanou verzi a do nasazení opravy omezit přístup.