Atlassian hat Sicherheitsupdates für Jira, Confluence und andere Unternehmensprodukte veröffentlicht und damit 176 Schwachstellen in seiner Software behoben.
Das am 20. Oktober veröffentlichte Bulletin fasst die im vorangegangenen Monat veröffentlichten Fehlerbehebungen für mehrere selbstverwaltete Produkte zusammen. Einige betroffene Komponenten von Drittanbietern weisen eine kritische Einstufung auf, doch Atlassian bewertet ihr Risiko innerhalb seiner Anwendungen als nicht kritisch. Unternehmen, die betroffene Versionen einsetzen, sollten prüfen, welche Installationen noch aktualisiert werden müssen.
Einige der schwerwiegendsten Befunde betreffen Softwarekomponenten, die dazu beitragen, unbefugte Verbindungen zu Unternehmenssystemen zu verhindern.
Sicherheitslücken betreffen Serverzugriff und Zertifikatsprüfungen
Mehrere der am höchsten bewerteten Probleme betreffen Softwarebibliotheken von Drittanbietern zur Verwaltung sicherer Verbindungen.Atlassians Sicherheitshinweis nennt drei bemerkenswerte Schwachstellen mit den folgenden in seinem Bulletin aufgeführten Bewertungen:
- CVE-2026-65637 (9,8) in Apache Tomcat. Die Confluence und Crowd betreffende Schwachstelle kann bei bestimmten HTTP/2-Anfragen eine strikte Validierung der Server Name Indication (SNI) umgehen.
- CVE-2026-58062 (9,3) in Bouncy Castle. Eine fehlerhafte Zertifikatsvalidierung kann dazu führen, dass ein widerrufenes Zertifikat als gültig akzeptiert wird, wenn die Komponente eine nicht übereinstimmende Antwort zum Zertifikatsstatus erhält. Atlassian führt Jira Software, Jira Service Management, Confluence und Crowd als betroffen auf.
- CVE-2026-75595 (9,1) in Netty. Die Netzwerkkomponente kann die Authentifizierung mittels Client-Zertifikat umgehen wenn die Authentifizierung vollständig von einer SNI-basierten Konfiguration abhängt, die Fallback-Konfiguration Verbindungen ohne Zertifikat zulässt und die Anwendung keine zusätzliche Zertifikatsprüfung durchführt.
Weitere Einträge betreffen die Ausführung von Code aus der Ferne und Denial-of-Service-Schwachstellen. Von der Gesamtzahl sind 162 als schwerwiegend eingestuft, und 14 betreffen als kritisch eingestufte Komponenten von Drittanbietern, wobei einige CVEs für mehrere Produkte aufgeführt sind.
Atlassian bewertet ihre Auswirkungen innerhalb seiner Anwendungen trotz der höheren Schweregrade der Komponenten als nicht kritisch.
Korrigierte Releases sind für unterstützte Data-Center-Produkte verfügbar
Die empfohlenen Updates unterscheiden sich je nach Produkt und Release-Zweig. Das Bulletin vom 20. Oktober empfiehlt die folgenden Versionen; Administratoren sollten vor der Bereitstellung die aktuellen Release-Hinweise und Upgrade-Anforderungen prüfen:
Produkt | Empfohlene korrigierte Version |
| Jira Software Data Center | 11.3.12 LTS |
| Jira Service Management Data Center | 11.3.12 LTS |
| Confluence Data Center | 10.2.19 LTS |
| Bitbucket Data Center | 10.2.8 LTS |
| Bamboo Data Center | 12.1.12 LTS |
| Crowd Data Center | 7.2.4 |
| Fisheye und Crucible | 4.9.15 |
Für Installationen in anderen Release-Zweigen führt Atlassians Portal zur Offenlegung von Schwachstellen betroffene Versionen und verfügbare Fehlerbehebungen auf.
Ältere Server-Editionen stellen ein anderes Problem dar. Jira, Confluence und die meisten anderen Server-Produkte erhalten seit Februar 2024 keine Sicherheitsupdates mehr, sodass für diese Installationen keine unterstützten Patches verfügbar sind. Fisheye und Crucible werden bis Mai 2028 unterstützt.
Eine übersehene Installation kann eine Sicherheitslücke ungelöst lassen
In Jira werden häufig die Tickets verwaltet, mit denen Sicherheitsaufgaben zugewiesen und abgeschlossen werden, während Jira Service Management die Bearbeitung von IT-Vorfällen unterstützt und Confluence interne Verfahren zur Reaktion auf Vorfälle speichert.
Unter Umständen verwalten unterschiedliche Teams diese Anwendungen, selbst wenn sie dieselbe anfällige Softwarekomponente enthalten. Ein abgeschlossenes Jira-Sicherheitsticket kann Administratoren daher ein unvollständiges Bild vermitteln, wenn eine betroffene Confluence- oder Crowd-Installation weiterhin eine ältere Version ausführt.
Sicherheitsverantwortliche sollten jede betroffene Installation separat in ihren Schwachstellenmanagement-Datensätzen nachverfolgen. Eine gemeinsame CVE muss den tatsächlichen Servern zugeordnet werden, auf denen anfällige Versionen ausgeführt werden; die zuständigen Produktverantwortlichen müssen jedes Update bestätigen. Eine ordnungsgemäße Patch-Verifizierung bedeutet, die nach der Bereitstellung ausgeführte Softwareversion zu prüfen, bevor das Problem als behoben gilt. Bei Clusterbereitstellungen sollte jeder Knoten überprüft und das Ergebnis der betroffenen Installation zugeordnet werden.
Weisen Sie nicht unterstützten Server-Installationen einen Verantwortlichen und eine Frist für die Migration auf eine unterstützte Plattform zu. Beschränken Sie den Zugriff, solange die Migration aussteht, und dokumentieren Sie diese Maßnahmen als vorübergehende Risikominderung und nicht als abgeschlossene Fehlerbehebung.
Ein abgeschlossener Patchbericht bietet nur begrenzte Sicherheit, wenn eine ältere, für wichtige IT-Arbeiten genutzte Installation weiterhin anfällig ist und außerhalb des regulären Sicherheitssupports liegt.
Weitere Nachrichten zur Cybersicherheit: GitLab-Administratoren sehen sich einem weiteren dringenden Sicherheitsupdate gegenüber, nachdem das Unternehmen in diesem Monat seine zweite Schwachstelle zur Ausführung von Code aus der Ferne mit einer Bewertung von 10,0 offengelegt hat.