Une vulnérabilité (CVE-2021-26086) est présente dans certaines versions d’Atlassian Jira Server et Data Center, ce qui pourrait permettre à des attaquants distants de lire des fichiers sensibles sur le serveur. Cette vulnérabilité impacte la confidentialité des systèmes concernés, exposant potentiellement des détails de configuration sensibles.

Produit	Atlassian-JIRA
Date	2024-11-13 09:09:29
Informations	Correctif disponible Exploitation active

Résumé technique

Les versions vulnérables d’Atlassian Jira Server et Data Center sont sensibles à une vulnérabilité de type « path traversal » (traversée de chemin) dans le point de terminaison /WEB-INF/web.xml. Un attaquant peut exploiter cette faille en envoyant des requêtes spécialement conçues, permettant un accès non autorisé aux fichiers présents sur le serveur. Ce problème peut conduire à la divulgation d’informations sensibles, y compris des fichiers de configuration, qui pourraient contenir des détails utiles pour des exploits ultérieurs ou des activités de reconnaissance.

Versions concernées :

• Versions antérieures à 8.5.14
• De 8.6.0 à 8.13.5
• De 8.14.0 à 8.16.0

Versions correctives :

• 8.5.14
• 8.13.6
• 8.16.1
• 8.17.0

Recommandations

Pour atténuer le risque associé à la CVE-2021-26086, il est recommandé de mettre à jour Atlassian Jira Server et Data Center vers l’une des versions correctives (8.5.14, 8.13.6, 8.16.1 ou 8.17.0). Si une mise à jour immédiate n’est pas possible, il est conseillé de mettre en œuvre la solution de contournement suivante :

• Configuration du proxy : utiliser un proxy ou un équilibreur de charge pour bloquer l’accès au point de terminaison /WEB-INF/web.xml.

Note : la solution temporaire décrite dans l’article KB d’Atlassian s’applique, mais seule la seconde solution de contournement (configuration d’un proxy ou d’un équilibreur de charge) est valide pour cette vulnérabilité.