جزئیات فنی آسیب‌پذیری در محصولات اطلسیان
طبق اعلام شرکت اطلسیان در اطلاعیه امنیتی، آسیب‌پذیری CVE-2026-21589 از نوع دسترسی به فایل دلخواه (Arbitrary File Access) است و به مهاجمان بدون نیاز به احراز هویت اجازه می‌دهد به فایل‌های مشخصی در دایرکتوری root وب‌اپلیکیشن در نسخه‌های آسیب‌پذیر دسترسی پیدا کنند. بااین‌حال، سوءاستفاده از این ضعف امنیتی مستلزم آگاهی قبلی از نام دقیق فایل هدف و مسیر دسترسی به آن است. این آسیب‌پذیری امکان فهرست‌برداری از دایرکتوری (Directory Enumeration) یا شناسایی فایل‌های موجود در آن‌ها را فراهم نمی‌کند.
محصولات آسیب‌پذیر و نسخه‌های پچ‌شده
این آسیب‌پذیری در اطلسیان تمام نسخه‌های محصولات زیر را که پیش از نسخه‌های مشخص‌شده منتشر شده‌اند، تحت تأثیر قرار می‌دهد. نسخه‌های پچ‌شده هر محصول برای رفع این آسیب‌پذیری در جدول زیر مشخص شده است.
محصول | نسخه‌های پچ شده |
Bitbucket Data Center | 9.4.26، 10.2.8، 10.5.1 |
Confluence Data Center | 9.2.26، 10.2.19 |
Jira Service Management Data Center | 5.12.40، 10.3.26، 11.3.12 |
Jira Software Data Center | 9.12.40، 10.3.26، 11.3.12 |
Bamboo Data Center | 10.2.24، 12.1.12 |
Crowd Data Center | 6.3.7، 7.0.3، 7.1.7، 7.2.4 |
Crucible | 4.9.15 |
Fisheye | 4.9.15 |
توصیه‌های امنیتی اطلسیان
شرکت اطلسیان از مدیران سامانه‌هایی که نسخه‌های خودمیزبان محصولات این شرکت را اجرا می‌کنند، خواسته است به‌روزرسانی‌های امنیتی را در اسرع وقت نصب کنند. در مقابل، مشتریان نسخه‌های ابری نیازی به انجام اقدام خاصی ندارند؛ زیرا این شرکت محصولات ابری را به‌صورت خودکار پچ کرده است.
اگر نصب فوری پچ امنیتی امکان‌پذیر نباشد، توصیه می‌شود دسترسی به این سامانه‌ها از شبکه‌های خارجی محدود شود. این توصیه برای سامانه‌هایی که از طریق اینترنت قابل دسترسی هستند نیز صدق می‌کند؛ حتی اگر ورود به آن‌ها مستلزم احراز هویت کاربر باشد.
اگر نصب فوری به‌روزرسانی‌های امنیتی امکان‌پذیر نباشد، می‌توان با اجرای راهکارهای موقت زیر، ریسک سوءاستفاده از این آسیب‌پذیری را کاهش داد:
- پیکربندی فایروال اپلیکیشن وب (WAF) یا پروکسی: تعریف قوانینی برای شناسایی و مسدودسازی الگوهای مشخص پیمایش مسیر (Path Traversal) در تمام محصولات آسیب‌پذیر.
- استفاده از قوانین RewriteValve در تامکت (Tomcat): تعریف و اعمال قوانین بازنویسی در محصولات کانفلوئنس، سرویس مدیریت جیرا (JSM)، جیرا، بامبو (Bamboo) و کراود (Crowd).
- تعریف قوانین بازنویسی URL: اعمال این قوانین برای محصول بیت‌باکت.
اطلاعیه امنیتی اطلسیان شامل دستورالعمل‌های گام‌به‌گام و جزئیات پیکربندی لازم برای اجرای این راهکارهای موقت است. مدیران سامانه‌ها باید اطمینان حاصل کنند که تغییرات پیکربندی روی تمام نودهای کلاستر (Cluster Nodes)، از جمله میرورهای بیت‌باکت (Bitbucket Mirrors) و تمام نودهای مجموعه سرورهای میرور، اعمال شده‌اند.
بررسی احتمال نفوذ
اطلسیان اعلام کرده است که تاکنون شواهدی از سوءاستفاده از آسیب‌پذیری CVE-2026-21589 در حملات شناسایی نکرده است. بااین‌حال، این شرکت از مدیران سامانه‌ها خواسته است لاگ‌های دسترسی (Access Logs) را برای شناسایی الگوهای پیمایش مسیر ذکرشده در اطلاعیه امنیتی بررسی کنند.
همچنین این شرکت تأکید کرده است که امکان تعیین قطعی وضعیت امنیتی سامانه‌های هر یک از مشتریان و تشخیص نفوذ احتمالی به آن‌ها را ندارد. ازاین‌رو، به مشتریانی که از نسخه‌های خودمیزبان استفاده می‌کنند توصیه شده است برای بررسی احتمال نفوذ، با تیم امنیتی داخلی خود همکاری کنند.
