Atlassian CVE-2026-21589 Flaw Exposes Files in Jira and Confluence Data Center
2026/10/06 gbhackers — Atlassian が公表したのは、Jira Software Data Center／Confluence Data Center に影響を及ぼす、任意のファイル・アクセスに関する深刻な脆弱性 CVE-2026-21589 (CVSS 9.3) の情報である。この脆弱性を悪用する未認証の攻撃者は、有効な認証情報を必要とせずに、影響を受けるアプリケーションの Web ルート・ディレクトリ内にある特定のファイルへアクセスできる。
Atlassian CVE-2026-21589 の脆弱性
Atlassian のアドバイザリによると、この脆弱性の悪用の前提として、標的となるリソースの正確なファイル名／パスを把握している必要がある。
この脆弱性を悪用しても、ディレクトリの列挙や一覧表示はできないため、攻撃者がファイルを直接探索する能力は制限される。ただし、アクセス可能なアプリケーション・ディレクトリに機密ファイルが存在する環境では、機密情報が露出するリスクが高まる。
Confluence のアドバイザリでは、この問題はパストラバーサルに分類され、「Arbitrary Read/Write」とされている。ただし、公開されている情報が示すのは、未認証でのファイル・アクセスであり、ファイルの変更／コード実行が可能であるとは記載されていない。
管理者に求められるのは、自組織のシステムで生じる可能性のある影響を評価する際に、より広範な脆弱性の分類／説明と、文書化されている影響を区別することである。
Atlassian によると、Jira Data Center の修正版は 9.12.40／10.3.26／11.3.12 であり、Confluence Data Center の修正版は 9.2.26／10.2.19 である。これらの修正版より前の、すべてのバージョンが影響を受けるという。
サポートが終了した旧リリースを使用している組織に求められるのは、パッチが適用された長期サポート・リリースや、それ以降のバージョンへと、速やかにアップグレードすることである。
Atlassian Cloud 製品については、すでに Atlassian がパッチを適用しており、調査においても悪用の証拠は確認されていないという。したがって、Cloud の顧客に対応は必要ない。
ただし、この説明は、顧客が管理する Data Center 環境が侵害されていないことを約束するものではない。特に、脆弱なインスタンスがインターネットに公開されている場合には注意が必要である。
直ちにパッチを適用できない管理者に対して、Atlassian が推奨しているのは、影響を受けるインスタンスを、可能な限りインターネットから切り離すことである。悪用にログインは不要であるため、ユーザー認証を要求するアプリケーションであっても、外部ネットワークからのアクセスを制限する必要がある。こうした封じ込め策により、組織がアップグレードを準備する間の露出を軽減できる。
緩和策の 1 つは、Web Application Firewall (WAF)／リバースプロキシのルールを使用して、疑わしいトラバーサル・パターンをブロックする方法である。Atlassian は、フォワードスラッシュ／バックスラッシュ／二重コロンの直前直後にある、2 つのドットを検出するための正規表現を提供している。
この正規表現では、エンコードされた形式も考慮されている。管理者は導入前に、指定された URL エンコード済みパターンに対して、フィルタリングをテストする必要がある。
もう 1 つの緩和策は、Apache Tomcat の RewriteValve を使用するものだ。管理者に求められるのは、各インスタンスのバックアップ／各クラスタノードの停止／conf/server.xml にあるアプリケーションの Context 要素での RewriteValve の有効化である。その後の、ノードの安全な再起動の前に、Atlassian が提供する rewrite.config を、Jira では atlassian-jira/WEB-INF、Confluence では confluence/WEB-INF にインストールまたは追記する必要がある。
ただし Atlassian は、これらの緩和策には限界があり、パッチ適用の代替にはならないと明確に警告している。セキュリティチームに求められるのは、インターネットへ公開された環境の保護を優先すること／すべてのクラスタノードへ必要な変更を確実に適用すること／該当する修正版へのアップグレードを可能な限り早急に予定することである。
当面の目標は、すべての環境において、機密情報を含む可能性のあるアプリケーション・ファイルへの未認証アクセスを防止することである。
Atlassian の Jira Software Data Center および Confluence Data Center における深刻な脆弱性 CVE-2026-21589 についての情報が公開されています。認証機構やファイル権限の不備に伴い、外部からの不正なファイルアクセス／内部情報の漏えい／設定データの露出といった被害が生じるおそれがあります。対応策としてサポート対象バージョンへの速やかなアップグレード／インターネット非公開化／WAF やプロキシでのアクセス制御の実施が求められます。
You must be logged in to post a comment.