Cảnh báo lỗ hổng nghiêm trọng CVE-2026-21589 trên hệ sinh thái Atlassian

• Mối đe dọa: Lỗ hổng truy cập file tùy ý (Arbitrary File Access) cho phép kẻ tấn công không cần xác thực đọc các file nhạy cảm trong thư mục gốc của ứng dụng.
• Mã CVE: CVE-2026-21589 với điểm CVSS 9.3 (Critical).
• Phạm vi ảnh hưởng: Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible và Fisheye.
• Hành động khẩn cấp: Cập nhật ngay lập tức lên các phiên bản đã được vá hoặc áp dụng các biện pháp giảm thiểu tạm thời từ Atlassian.

1. Tổng quan về lỗ hổng CVE-2026-21589

Vào ngày 05/10/2026, Atlassian đã chính thức công bố một lỗ hổng bảo mật nghiêm trọng được định danh là CVE-2026-21589. Đây là lỗ hổng truy cập file tùy ý (Arbitrary File Access) với điểm số CVSS 9.3, cho phép kẻ tấn công từ xa, không cần xác thực (unauthenticated), có thể truy cập vào các file cụ thể nằm trong thư mục gốc (web root directory) của ứng dụng. Mặc dù lỗ hổng này không cho phép liệt kê toàn bộ cấu trúc thư mục (directory listing), nhưng việc kẻ tấn công biết trước đường dẫn và tên file có thể dẫn đến rò rỉ dữ liệu nhạy cảm nghiêm trọng.

2. Phân tích kỹ thuật và Chuỗi tấn công (Kill Chain)

Dựa trên phân tích kỹ thuật, lỗ hổng này xuất phát từ việc thiếu kiểm soát chặt chẽ đối với các yêu cầu HTTP gửi đến thư mục gốc của ứng dụng. Kẻ tấn công có thể lợi dụng các kỹ thuật thao túng đường dẫn (Path Traversal) để vượt qua các lớp kiểm soát truy cập thông thường.

• Vector tấn công: Tấn công trực tiếp qua giao thức HTTP/HTTPS vào các endpoint của ứng dụng.
• Kỹ thuật MITRE ATT&CK: Ánh xạ vào kỹ thuật T1190 (Exploit Public-Facing Application).
• Điều kiện khai thác: Kẻ tấn công cần biết chính xác tên file và đường dẫn tương đối của file mục tiêu trong thư mục web root.
• Tác động: Đọc nội dung file cấu hình, file chứa thông tin xác thực hoặc các tệp tin nhạy cảm khác mà ứng dụng lưu trữ trong phạm vi web root.

Mặc dù Atlassian khẳng định lỗ hổng này không cho phép truy cập không giới hạn vào toàn bộ hệ thống máy chủ (underlying server), nhưng rủi ro vẫn rất cao đối với các cấu hình triển khai không tuân thủ nguyên tắc bảo mật tối thiểu (least privilege).

3. Danh sách các sản phẩm bị ảnh hưởng và phiên bản vá lỗi

Dưới đây là bảng tổng hợp các sản phẩm bị ảnh hưởng và phiên bản đã được khắc phục. Quản trị viên cần đối chiếu phiên bản hiện tại để thực hiện nâng cấp ngay lập tức.

4. Biện pháp giảm thiểu tạm thời (Workaround)

Trong trường hợp chưa thể thực hiện nâng cấp ngay lập tức, Atlassian khuyến nghị các biện pháp giảm thiểu rủi ro thông qua cấu hình WAF hoặc Reverse Proxy. Quản trị viên có thể áp dụng các quy tắc chặn các mẫu ký tự traversal (như dấu chấm liền kề và dấu phân cách đường dẫn).

⚠️ Cảnh báo quan trọng: Các biện pháp giảm thiểu dưới đây chỉ mang tính tạm thời. Việc nâng cấp lên phiên bản chính thức là cách duy nhất để loại bỏ hoàn toàn lỗ hổng.

Một phương pháp khác là sử dụng Tomcat RewriteValve. Quy trình thực hiện bao gồm:

# 1. Sao lưu toàn bộ dữ liệu hệ thống hiện tại. 2. Dừng các node trong cụm (cluster node). 3. Kích hoạt RewriteValve trong file cấu hình server.xml. 4. Cấu hình các quy tắc rewrite để chặn các yêu cầu độc hại. 5. Khởi động lại các node để áp dụng thay đổi.

5. Khuyến nghị phòng thủ

Để đảm bảo an toàn cho hạ tầng, các tổ chức cần thực hiện các bước sau:

• Rà soát hạ tầng: Kiểm tra tất cả các phiên bản Atlassian đang chạy trong môi trường production.
• Cách ly mạng: Nếu không thể vá lỗi ngay, hãy đưa các instance bị ảnh hưởng ra khỏi môi trường internet công cộng, chỉ cho phép truy cập qua VPN nội bộ.
• Giám sát log: Theo dõi các yêu cầu HTTP bất thường nhắm vào các file nhạy cảm trong thư mục web root.
• Cập nhật định kỳ: Theo dõi thông tin từ Atlassian Security Advisories để nhận các bản vá mới nhất.