关于Atlassia多产品未授权任意文件读取漏洞的预警通报

近日，工作发现最新漏洞威胁：Atlassia多产品未授权任意文件读取漏洞

Atlassian 插件资源下载端点的 URL 命名空间中，单冒号是插件 key 的合法分隔符、斜杠承担路由结构含义，因此资源路径里的 :: 在解析时事实上承担 / 的分隔符角色；而负责安全校验的代码未能将 :: 视为与 / 等价的分隔符，致使 ..:: 形态的穿越序列绕过校验、在后续路径解析中仍按目录跳层生效。远程攻击者只需向资源下载接口(/download/resources/... 路由族)发送一条构造好的 GET 请求，全程无需任何身份凭证，即可读取Tomcat 应用目录范围内任意已知路径的文件；若目标环境接入了 Atlassian Crowd 统一认证，攻击者还可进一步读取 WEB-INF/classes/crowd.properties 中的明文应用凭据，凭其调用 Crowd 用户管理接口创建用户、修改权限等。

目前受影响的Atlassian版本：

Bitbucket Data Center: 9.4.0 < 9.4.26; 10.2.0 < 10.2.8; 10.5.0 < 10.5.1

Confluence Data Center: 9.2.0 < 9.2.26; 10.2.0 < 10.2.19

Jira Software Data Center: 9.12.0 < 9.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12

Jira Service Management Data Center: 5.12.0 < 5.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12

Bamboo Data Center: 10.2.0 < 10.2.24; 12.1.0 < 12.1.12

Crowd Data Center: 6.3.0 < 6.3.7; 7.0.0 < 7.0.3; 7.1.0 < 7.1.7; 7.2.0 < 7.2.4

Crucible: < 4.9.15

Fisheye: < 4.9.15

官方已发布安全公告，由于该漏洞涉及多款产品，请按照公告中不同产品升级方案与临时缓解措施执行。

https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html

请各单位增强网络安全防护意识，立即排查产品使用情况，并督促指导受影响单位及时升级漏洞补丁，消除风险隐患。同时，加强网络安全监测,如发现遭攻击情况及时处置并报告。