Angrepp mot Atlassians sårbarhet för filåtkomst inleds bara timmar efter att exploateringskod publicerats

Angripare har börjat rikta in sig på en kritisk sårbarhet i Atlassians egenhostade programvara efter att offentlig proof-of-concept-kod publicerats. Säkerhetsbristen för filåtkomst i Atlassian, som registrerats som CVE-2026-21589, påverkar åtta produktfamiljer, däribland Jira, Confluence och Bitbucket.

Säkerhetsföretaget Previdian rapporterade exploateringsförsök i sitt honeypot-nätverk inom två timmar efter att forskare publicerat tekniska detaljer. Dessa observationer visar dock inte hur många kundsystem som angripare har lyckats kompromettera.

Åtta Atlassian-produktfamiljer påverkas

Atlassian offentliggjorde sårbarheten den 5 oktober och uppmanade administratörer att installera säkerhetsuppdateringar så snart som möjligt. De berörda produkterna är:

• Bitbucket Data Center
• Confluence Data Center
• Jira Service Management Data Center
• Jira Software Data Center
• Bamboo Data Center
• Crowd Data Center
• Crucible
• Fisheye

Sårbarheten gör det möjligt för angripare utan autentisering att hämta vissa filer inom en applikations webbrotkatalog. De måste dock känna till det exakta filnamnet och sökvägen.

Atlassian uppgav också att företaget inte kan avgöra om enskilda kundinstallationer har blivit komprometterade.

Exponerade filer kan möjliggöra administratörsåtkomst

Forskare vid watchTowr spårade svagheten till ett delat bibliotek som hanterar webbresurser. Biblioteket omvandlar dubbla kolon till snedstreck, vilket gör det möjligt för särskilt utformade förfrågningar att kringgå avsedda begränsningar för filåtkomst.

Under tester lyckades forskarna hämta skyddade filer från Jira, Confluence och Bitbucket utan att logga in. Deras metod kunde dock inte nå utanför Tomcat-applikationens kontext.

Konsekvenserna kan sträcka sig längre än till exponerade filer i vissa miljöer som är integrerade med Crowd. Crowd hanterar identiteter, autentisering och åtkomstbehörigheter i anslutna applikationer.

I vissa Jira-installationer hämtade forskarna applikationsuppgifter i klartext från en konfigurationsfil för Crowd. Därefter demonstrerade de hur dessa uppgifter kunde användas för att skapa ett administratörskonto i Jira via Crowds API.

Denna behörighetseskalering förutsätter att Crowd är tillgängligt och att applikationskontot har tillräckliga behörigheter. Därför innebär filåtkomst inte automatiskt att angripare får administratörskontroll över varje berörd installation.

Att begränsa åtkomsten till Crowd till godkända IP-adresser gör denna attackväg svårare att utnyttja. En angripare skulle då behöva hitta ett annat sätt att nå tjänsten.

Offentlig forskning följdes snabbt av attackförsök

Previdian upptäckte exploateringsförsök kort efter att watchTowr publicerade sin forskning och proof-of-concept-kod den 7 oktober.

Samtidigt har en offentligt tillgänglig Nuclei-mall gjort automatiserad sårbarhetsskanning enklare. Tillsammans minskar dessa publiceringar den ansträngning som krävs för att identifiera och undersöka exponerade installationer.

Previdian rapporterade försök som kom från tre IP-adresser:

• 38.60.157[.]86
• 146.70.187[.]234
• 159.26.119[.]225

Företaget rekommenderade att dessa adresser blockeras. Det förutspådde också att aktiviteten skulle öka under de följande dagarna och veckorna, med hänvisning till det stora antalet berörda produkter och de tillgängliga skanningsverktygen.

Den rapporterade aktiviteten i honeypot-nätverket bekräftar dock exploateringsförsök snarare än framgångsrika övertaganden av administratörskonton i kundsystem.

Uppdateringar och skyddsåtgärder kräver snabb uppmärksamhet

Administratörer bör prioritera de tillgängliga säkerhetsuppdateringarna för säkerhetsbristen för filåtkomst i Atlassian. Där omedelbar uppdatering inte är praktiskt möjlig rekommenderar Atlassian produktspecifika skyddsåtgärder.

Dessa omfattar att begränsa extern nätverksåtkomst och konfigurera en webbapplikationsbrandvägg eller proxy för att blockera relevanta mönster för katalogtraversering.

Ytterligare alternativ omfattar Tomcat RewriteValve-regler för Confluence, Jira Service Management, Jira, Bamboo och Crowd. För Bitbucket innehåller rekommendationerna en regel för URL-omskrivning.

Administratörer bör följa instruktionerna för sin specifika produkt och installation. Samtidigt har watchTowr släppt ett kostnadsfritt skanningsverktyg för att hjälpa till att identifiera sårbara instanser.