Atlassian meldet eine kritische Schwachstelle in seiner Software für Rechenzentren. Die kritische Lücke mit dem CVSS-Grad 9.3 ermöglicht den Zugriff auf beliebige Dateien. Sie erlaubt es einem Angreifer ohne Login-Zugriff, bestimmte Dateien im Stammverzeichnis der Webanwendung jedes Produkts zu lesen. Angreifer müssten aber den genauen Dateinamen und Pfad kennen, um die Lücke auszunutzen, erklärt das Unternehmen.

Die Schwachstelle CVE-2026-21589 betrifft acht Cloud-Produkte von Atlassian: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible und Fisheye. Im Advisory werden die gepatchten Versionen der jeweiligen Produkte aufgelistet. Atlassian empfiehlt, ein Update auf die korrigierte LTS-Version oder eine neuere Version durchzuführen. Falls eine sofortige Behebung nicht möglich ist, wird empfohlen, den Zugriff auf externe Netzwerke einzuschränken, insbesondere für Instanzen mit Internetanbindung. Zudem sollten Security-Teams Zugriffsprotokolle auf mögliche Kompromittierungen untersuchen.

"Die Schwere der Sicherheitslücke ergibt sich aus der geringen Komplexität ihrer Ausnutzung und dem Fehlen von Authentifizierungsanforderungen", so das Security-Unternehmen SOC Prime in einem Blogbeitrag. "Ein Angreifer, der den Speicherort einer bestimmten Datei kennt, könnte potenziell auf vertrauliche Informationen zugreifen, die im Anwendungsverzeichnis gespeichert sind." Diese sensiblen Informationen könnten weiterführende Angriffe auf Systeme ermöglichen. Die Sicherheitslücke selbst ermögliche jedoch weder die Ausführung von Code aus der Ferne noch gewähre sie uneingeschränkten Zugriff auf das zugrunde liegende Dateisystem.