Trusted Design

CVE-2026-21589 の詳細

CVEの情報

説明:
This is a vulnerability in Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center. Crowd Data Center, Crucible and Fisheye. This Arbitrary File Access vulnerability allows an unauthenticated attacker to access specific files within the web application root directory in affected versions. Exploitation requires prior knowledge of the target file's exact name and path; this vulnerability does not allow attackers to enumerate or list directory contents. In some configurations, there may be some sensitive files that make this highly severe. This vulnerability allows an unauthenticated remote attacker to access specific files within the web application root directory in affected versions. The vulnerability must be addressed for affected versions of: -- Bitbucket Data Center, introduced in version >= 4.6.0, fix versions: 9.4.26, 10.2.8, 10.5.1 -- Confluence Data Center, introduced in version >= 5.10.0, fix versions 9.2.26, 10.2.19 -- Crowd Data Center, introduced in version >= 2.11.0, fix versions 6.3.7, 7.0.3, 7.1.7, 7.2.4 -- Jira Software Data Center, introduced in version >= 7.1.0, fix versions 9.12.40, 10.3.26, 11.3.12 -- Jira Service Management Data Center, introduced in version >= 3.1.0, fix versions 5.12.40, 10.3.26, 11.3.12 -- Bamboo Data Center >= 7.0.1, fix versions 10.2.24, 12.1.12 -- Crucible, fix versions 4.9.15 -- Fisheye, fix version 4.9.15 -- Exploitation requires prior knowledge of the target file's exact name and path. The vulnerability does not include the capability to enumerate or list directory contents.

CVE更新日: 2026-10-05 22:16:58.423000

CVSSバージョン: 4.0

CVSSスコア: 9.3

KEVの情報

KEV更新日: 2026-10-15

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.127110000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-21589は、Atlassian社のData Center製品に影響を与える深刻な任意ファイル読み込みの脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2026-21589は、Atlassian Data Center製品におけるパス・トラバーサル (Path Traversal) の欠陥に起因する、認証不要の任意ファイル読み込みの脆弱性です。この脆弱性を悪用することで、リモートの攻撃者は、アプリケーションのWebルートディレクトリ内に存在する特定のファイルを読み取ることができます。攻撃者は対象ファイルの正確な名前とパスを知っている必要があり、ディレクトリの列挙や内容の一覧表示はできません。

1.1 影響

本脆弱性の悪用により、設定ファイルなど、平文の認証情報を含む機密情報が漏洩する可能性があります。例えば、JiraがCrowdと連携している場合、WEB-INF/classes/crowd.propertiesファイルを読み取られることで、アプリケーションの認証情報が露呈し、攻撃者がJiraの管理者権限を取得する可能性もあります。これにより、さらなるシステム侵害やデータ漏洩のリスクが高まります。

1.2 深刻度

本脆弱性は、Atlassianによって深刻度「Critical（緊急）」と評価されており、CVSSv4スコアは9.3です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Atlassianの公式アドバイザリによると、以下のAtlassian Data Center製品の、該当する修正バージョン以前のすべてのバージョン（サポート対象外のバージョンを含む）が影響を受けます。Atlassian Cloud製品は既にパッチが適用されており、ユーザー側での対応は不要です。

  • Bitbucket Data Center: バージョン >= 4.6.0 で導入。修正バージョン: 9.4.26, 10.2.8, 10.5.1。
  • Confluence Data Center: バージョン >= 5.10.0 で導入。修正バージョン: 9.2.26, 10.2.19。
  • Crowd Data Center: バージョン >= 2.11.0 で導入。修正バージョン: 6.3.7, 7.0.3, 7.1.7, 7.2.4。
  • Jira Software Data Center: バージョン >= 7.1.0 で導入。修正バージョン: 9.12.40, 10.3.26, 11.3.12。
  • Jira Service Management Data Center: バージョン >= 3.1.0 で導入。修正バージョン: 5.12.40, 10.3.26, 11.3.12。
  • Bamboo Data Center: バージョン >= 7.0.1 で導入。修正バージョン: 10.2.24, 12.1.12。
  • Crucible: 修正バージョン: 4.9.15。
  • Fisheye: 修正バージョン: 4.9.15。

2.2 影響を受ける設定

主にインターネットに公開されている、自己ホスト型（オンプレミス）のAtlassian Data Center製品のデプロイが影響を受けます。認証機能が有効になっているインスタンスであっても、インターネットに公開されている場合は本脆弱性のリスクがあります。

3. 影響を受けた時の兆候

  • Webサーバーおよびアプリケーションのアクセスログにおいて、疑わしいパス・トラバーサル (..などのシーケンスを含む) の兆候がないかを確認することが推奨されます。
  • Atlassianは、トラバーサルシーケンスを検索する前に、リクエストラインを最大2回URLデコードすることを推奨しています。
  • 脆弱な製品のフィンガープリンティングや、一般的な設定ファイル、機密情報のスキャンを試みる活動が見られる可能性があります。

4. 推奨対策

4.1 本対策

最も効果的な対策は、速やかに影響を受けるインスタンスを修正バージョンにアップグレードすることです。Atlassianは、通常のパッチサイクル外での緊急パッチ適用を推奨しています。

4.2 暫定回避策（緩和策）

パッチの適用がすぐにできない場合、以下の暫定的な緩和策を適用することが推奨されます。これらの緩和策は一時的なものであり、永続的な解決策ではありません。

  • 影響を受けるインスタンスをインターネットから切断するか、外部ネットワークからのアクセスを制限します。
  • ベンダーが提供するWeb Application Firewall (WAF) またはリバースプロキシのフィルタリングルールを適用します。
  • Confluence、Jira Service Management、Jira Software、Bamboo、Crowdについては、Apache TomcatのRewriteValve機能を使用して、ベンダー提供のルールを設定します。
  • Bitbucketについては、urlrewrite.xmlルールを適用します。
  • Crowdを使用している場合、IPホワイトリスト機能でネットワークアクセスを制限します。

5. 他に解説すべき観点

  • PoCの公開と活発な悪用: 本脆弱性の詳細な技術分析やPythonによるファイル読み込みのProof-of-Concept (PoC) スクリプト、Nucleiテンプレートが既に公開されています。公開から数時間以内に、脆弱性のある製品のフィンガープリンティングや一般的な設定ファイルの探索を目的とした悪用試行が観測されています。これにより、パッチ適用と緩和策の実施は緊急性が非常に高いとされています。
  • 追加の攻撃への発展: ファイル読み取りの脆弱性であっても、設定ファイルから認証情報が漏洩した場合、管理者アクセスなどのより深刻な攻撃に発展する可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る