CVE-2026-21589: Lỗ hổng nghiêm trọng trên Atlassian Data Center

Mối đe dọa: Lỗ hổng Path Traversal (CVE-2026-21589) với điểm CVSS 9.3 cho phép truy cập tệp tin trái phép.
Phạm vi ảnh hưởng: 8 sản phẩm Atlassian Data Center tự lưu trữ (self-hosted) bao gồm Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible và Fisheye.
Hành động khẩn cấp: Cập nhật lên phiên bản vá lỗi mới nhất hoặc áp dụng các quy tắc chặn URL (WAF/RewriteValve) ngay lập tức.

1. Bối cảnh & Tổng quan về CVE-2026-21589

Vào ngày 5 tháng 10, Atlassian đã công bố một lỗ hổng bảo mật nghiêm trọng mang mã định danh CVE-2026-21589, ảnh hưởng đến hàng loạt sản phẩm Data Center của hãng. Với điểm số CVSS 9.3 (Critical), lỗ hổng này cho phép kẻ tấn công không cần xác thực (unauthenticated) có thể đọc các tệp tin tùy ý nằm trong thư mục gốc của ứng dụng web (web application root directory).

Lỗ hổng này thuộc nhóm Path Traversal, một kỹ thuật tấn công kinh điển nhưng cực kỳ nguy hiểm. Kẻ tấn công có thể lợi dụng các ký tự đặc biệt trong đường dẫn URL để vượt qua các rào cản kiểm soát truy cập, từ đó truy xuất các tệp tin cấu hình hoặc dữ liệu nhạy cảm mà lẽ ra phải được bảo vệ nghiêm ngặt.

2. Phân tích Kỹ thuật & Chuỗi Khai thác

Cơ chế của CVE-2026-21589 dựa trên việc thiếu kiểm tra tính hợp lệ của các tham số đầu vào trong quá trình xử lý yêu cầu HTTP. Kẻ tấn công sử dụng các chuỗi ký tự như .. kết hợp với các ký tự phân tách đường dẫn (/, \, ::) để điều hướng trình duyệt hoặc công cụ khai thác truy cập ra ngoài phạm vi thư mục cho phép.

Theo khung MITRE ATT&CK, kỹ thuật này được ánh xạ vào T1190 (Exploit Public-Facing Application). Mặc dù kẻ tấn công cần biết chính xác tên tệp và đường dẫn (do không thể liệt kê danh sách tệp trong thư mục), nhưng trong môi trường doanh nghiệp, các tệp cấu hình mặc định thường có tên dự đoán được, khiến rủi ro bị khai thác là rất cao.

Các sản phẩm bị ảnh hưởng

Lỗ hổng này tác động đến các phiên bản trước các bản vá được liệt kê dưới đây. Người dùng cần kiểm tra kỹ phiên bản hiện tại của mình:

Sản phẩm	Phiên bản đã vá lỗi
Bitbucket Data Center	9.4.26, 10.2.8, 10.5.1
Confluence Data Center	9.2.26, 10.2.19
Jira Software Data Center	9.12.40, 10.3.26, 11.3.12
Jira Service Management	5.12.40, 10.3.26, 11.3.12
Bamboo Data Center	10.2.24, 12.1.12
Crowd Data Center	6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible / Fisheye	4.9.15

3. Hướng dẫn Phát hiện & Săn tìm mối đe dọa (Threat Hunting)

Để xác định xem hệ thống đã từng bị tấn công hay chưa, đội ngũ SOC cần kiểm tra kỹ lưỡng các tệp nhật ký truy cập (access logs). Kẻ tấn công thường sử dụng các chuỗi mã hóa URL để né tránh các bộ lọc cơ bản.

⚠️ Cảnh báo quan trọng: Hãy thực hiện giải mã URL (URL-decode) các dòng yêu cầu tối đa 2 lần và tìm kiếm các mẫu ký tự .. nằm cạnh /, \ hoặc ::. Dưới đây là ví dụ về quy tắc phát hiện dựa trên mẫu (pattern) mà bạn có thể áp dụng cho SIEM:

# Ví dụ mẫu tìm kiếm trong log (grep) cho các yêu cầu nghi vấn: 2 lần decode và tìm path traversal 2.2.2.2/.. /..\ ..:: 2.2.2.2/.. 2.2.2.2/..\ 2.2.2.2/..:: 2.2.2.2/..%2f 2.2.2.2/..%5c 2.2.2.2/..%3a%3a

4. Biện pháp Khắc phục & Khuyến nghị Phòng thủ

Giải pháp triệt để nhất là nâng cấp lên phiên bản đã được nhà sản xuất cung cấp. Tuy nhiên, nếu chưa thể thực hiện ngay, bạn cần áp dụng các biện pháp giảm thiểu (mitigation) sau đây:

Chặn tại WAF/Reverse Proxy: Cấu hình quy tắc chặn tất cả các yêu cầu chứa chuỗi .. đi kèm với /, \ hoặc :: (bao gồm cả dạng URL-encoded).
Tomcat RewriteValve: Đối với Confluence, Jira, Bamboo và Crowd, hãy cài đặt quy tắc RewriteValve trên từng node và khởi động lại dịch vụ.
Cấu hình urlrewrite.xml: Đối với Bitbucket, áp dụng quy tắc chặn trong tệp urlrewrite.xml cho tất cả các node, mirror và mirror farm, sau đó khởi động lại hệ thống.

Việc tham khảo tài liệu chính thức từ Atlassian Security Advisory là bắt buộc để đảm bảo cấu hình đúng cú pháp cho từng phiên bản cụ thể. Hãy nhớ rằng các biện pháp giảm thiểu chỉ là tạm thời và không thay thế cho việc cập nhật bản vá bảo mật chính thức.