แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตใน Atlassian Multiple Products (CVE-2026-21589)
CISA KEV: Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability in Atlassian Multiple Products (CVE-2026-21589)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-21589 ในผลิตภัณฑ์ Atlassian Multiple Products ซึ่งเป็นช่องโหว่ประเภทการเข้าถึงไฟล์โดยไม่ได้รับอนุญาต (Arbitrary File Access) เปิดทางให้ผู้โจมตีภายนอกที่ไม่มีการพิสูจน์ตัวตนสามารถเข้าถึงไฟล์ภายในระบบได้โดยตรง ส่งผลให้ข้อมูลสำคัญในระบบมีความเสี่ยงสูงที่จะรั่วไหล
รายละเอียดช่องโหว่ (Vulnerability Details)
พบช่องโหว่ความปลอดภัยรหัส CVE-2026-21589 (จัดอยู่ในประเภท CWE-552: Files or Directories Accessible to External Parties) ในผลิตภัณฑ์ของ Atlassian หลายรายการ ได้แก่ Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible และ Fisheye
- ลักษณะการโจมตี (Exploitation Mechanism): อนุญาตให้ผู้โจมตีภายนอกที่ไม่ต้องมีการพิสูจน์ตัวตน (Unauthenticated Remote Attacker) สามารถเข้าถึงไฟล์เฉพาะเจาะจงภายในไดเรกทอรีรากของเว็บแอปพลิเคชันได้โดยตรง (Web Application Root Directory)
- เงื่อนไขการโจมตี: การโจมตีจำเป็นต้องอาศัยความรู้เดิมเกี่ยวกับชื่อและเส้นทางที่แน่นอนของไฟล์เป้าหมาย (Exact Name and Path) โดยช่องโหว่นี้ไม่รองรับความสามารถในการแจกแจงหรือดูรายชื่อไฟล์ภายในไดเรกทอรี (Directory Enumeration/Listing)
- ผลกระทบ (Impact): หากมีการกำหนดค่าระบบที่มีไฟล์ความลับสำคัญอยู่ในตำแหน่งดังกล่าว อาจทำให้ผู้โจมตีเข้าถึงข้อมูลสำคัญและส่งผลกระทบต่อความลับของข้อมูลในระดับสูง (CVSS Base Score: 9.3)
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตซอฟต์แวร์ผลิตภัณฑ์ Atlassian ไปยังเวอร์ชันที่ได้รับการแก้ไขจากผู้พัฒนาทันทีตามคำแนะนำ ดังนี้
- Bitbucket Data Center: อัปเดตเป็นเวอร์ชัน 9.4.26, 10.2.8, 10.5.1 หรือใหม่กว่า
- Confluence Data Center: อัปเดตเป็นเวอร์ชัน 9.2.26, 10.2.19 หรือใหม่กว่า
- Crowd Data Center: อัปเดตเป็นเวอร์ชัน 6.3.7, 7.0.3, 7.1.7, 7.2.4 หรือใหม่กว่า
- Jira Software / Jira Service Management Data Center: อัปเดตเป็นเวอร์ชัน 9.12.40, 10.3.26, 11.3.12 หรือใหม่กว่า
- Bamboo Data Center: อัปเดตเป็นเวอร์ชัน 10.2.24, 12.1.12 หรือใหม่กว่า
- Crucible และ Fisheye: อัปเดตเป็นเวอร์ชัน 4.9.15 หรือใหม่กว่า
- การตรวจสอบการเข้าถึงอินเทอร์เน็ต: ผู้ดูแลระบบควรประเมินความเสี่ยงและตรวจสอบการเปิดเผยบริการต่ออินเทอร์เน็ตสาธารณะ (Internet Exposure) ของสินทรัพย์ในองค์กร
- การเฝ้าระวังและตรวจสอบความปลอดภัย: ดำเนินการตรวจสอบบันทึกการเข้าใช้งานระบบ (Access Logs) เพื่อค้นหาร่องรอยหรือความผิดปกติในการเข้าถึงไฟล์ที่น่าสงสัยตามแนวทาง Forensics Triage Requirements