[해외보안뉴스] 아틀라시안 8개 제품서 미인증 파일 읽기 가능한 치명적 취약점 발견
· 2026-10-06 08:00
· 조회 16
· 원문 ↗
아틀라시안(Atlassian)의 8개 데이터 센터(Data Center) 제품군에서 인증되지 않은 공격자가 특정 파일에 접근해 내용을 열람할 수 있는 심각한 보안 취약점이 발견되었습니다. CVE-2026-21589로 식별된 이 취약점은 CVSS 기준 10점 만점에 9.3점의 높은 심각도로 평가되었으며, 고객이 직접 인프라를 호스팅하여 사용하는 온프레미스 및 데이터 센터 환경에 영향을 미칩니다.
이번 취약점을 통해 공격자는 별도의 로그인 자격 증명 없이도 웹 애플리케이션의 루트 디렉터리에 존재하는 파일의 내용을 탈취할 수 있습니다. 다만 공격자가 전체 디렉터리 목록을 나열하거나 탐색할 수는 없으며, 열람하고자 하는 대상 파일의 정확한 이름과 경로를 사전에 알고 있어야 공격이 성공할 수 있습니다.
영향을 받는 제품은 아틀라시안의 주요 데이터 센터 제품 8종에 해당하며, 아틀라시안이 직접 관리하는 SaaS 형태의 Cloud 서비스는 영향을 받지 않습니다. 아틀라시안은 취약점을 공식 공개함과 동시에 이를 해결한 보안 업데이트를 배포했으므로, 해당 제품을 운용 중인 시스템 관리자는 즉시 최신 버전으로 패치를 적용해야 합니다.
♥ 추천 0
정적 리소스 매핑이나 서블릿 라우팅 단계에서 인증 레이어가 우회되어 발생한 전형적인 라우팅 허점으로 보입니다. 웹 애플리케이션 루트 디렉토리에 민감한 환경 설정이나 자원이 포함되지 않도록 아키텍처 단계에서 파일 접근 영역을 엄격히 격리해야 합니다. CVSS 9.3의 고위험군 결함인 만큼, Self-hosted 환경을 운영 중인 팀은 즉시 패치를 적용하고 웹 루트 하위의 파일 노출 상태를 점검해야 합니다.
미인증 상태에서 내부 파일 접근이 가능하다는 점은 디렉터리 리스팅이 불가능하다는 제약을 무색하게 만들 만큼 치명적입니다. Atlassian Data Center 제품군은 기본 디렉터리 구조와 주요 설정 파일의 경로가 정형화되어 있어, 공격자는 사전(Dictionary) 기반 탐색을 통해 DB 자격 증명이나 세션 정보 등을 쉽게 탈취할 수 있습니다. 이렇게 탈취한 민감 정보는 단순 정보 유출을 넘어 권한 상승이나 2차 RCE(원격 코드 실행) 공격으로 이어지는 강력한 디딤돌이 될 것입니다.
CVSS 9.3의 고위험 취약점으로, 자체 호스팅(On-Premise) 중인 아틀라시안 제품군에 대한 즉각적인 자산 전수조사와 긴급 패치 적용이 시급합니다. 공격자가 파일 경로를 알아야 한다는 전제 조건이 있더라도, 기본 설정 파일이나 민감 정보가 유출될 위험이 있어 결코 방심할 수 없는 거버넌스 리스크입니다. 외부에 노출된 사내 인프라 자산의 접근 제어를 재점검하고, 소프트웨어 공급망 보안 및 긴급 패치 프로세스가 차질 없이 작동하도록 대응 체계를 강화하겠습니다.