Angripere har begynt å rette angrep mot en kritisk sårbarhet i Atlassians selvhostede programvare etter at offentlig proof-of-concept-kode ble publisert. Sikkerhetsfeilen for filtilgang i Atlassian, registrert som CVE-2026-21589, påvirker åtte produktfamilier, inkludert Jira, Confluence og Bitbucket.
Sikkerhetsselskapet Previdian rapporterte om utnyttelsesforsøk i sitt honeypot-nettverk innen to timer etter at forskere publiserte tekniske detaljer. Disse observasjonene viser imidlertid ikke hvor mange kundesystemer angriperne har klart å kompromittere.
Åtte Atlassian-produktfamilier er berørt
Atlassian offentliggjorde sårbarheten 5. oktober og oppfordret administratorer til å installere sikkerhetsoppdateringer så raskt som mulig. De berørte produktene er:
- Bitbucket Data Center
- Confluence Data Center
- Jira Service Management Data Center
- Jira Software Data Center
- Bamboo Data Center
- Crowd Data Center
- Crucible
- Fisheye
Sårbarheten gjør det mulig for angripere uten autentisering å hente bestemte filer innenfor en applikasjons webrotkatalog. De må imidlertid kjenne det nøyaktige filnavnet og filbanen.
Atlassian opplyste også at selskapet ikke kan avgjøre om individuelle kundeinstallasjoner har blitt kompromittert.
Eksponerte filer kan muliggjøre administratortilgang
Forskere hos watchTowr sporet svakheten til et delt bibliotek som håndterer webressurser. Biblioteket konverterer doble kolon til skråstreker, noe som gjør det mulig for spesialutformede forespørsler å omgå de tiltenkte begrensningene for filtilgang.
Under testing hentet forskerne beskyttede filer fra Jira, Confluence og Bitbucket uten å logge inn. Metoden deres kunne imidlertid ikke nå utenfor Tomcat-applikasjonens kontekst.
Konsekvensene kan strekke seg lenger enn eksponerte filer i enkelte miljøer som er integrert med Crowd. Crowd administrerer identiteter, autentisering og tilgangstillatelser på tvers av tilkoblede applikasjoner.
I enkelte Jira-installasjoner hentet forskerne applikasjonslegitimasjon i klartekst fra en Crowd-konfigurasjonsfil. Deretter demonstrerte de hvordan denne legitimasjonen kunne gjøre det mulig å opprette en Jira-administratorkonto gjennom Crowds API.
Denne rettighetseskaleringen avhenger av at Crowd er tilgjengelig, og at applikasjonskontoen har tilstrekkelige tillatelser. Derfor gir ikke filtilgang automatisk administratorkontroll over alle berørte installasjoner.
Å begrense tilgangen til Crowd til godkjente IP-adresser gjør denne angrepsveien vanskeligere å utnytte. En angriper vil da trenge en annen måte å nå tjenesten på.
Offentlig forskning ble raskt fulgt av angrepsforsøk
Previdian oppdaget utnyttelsesforsøk kort tid etter at watchTowr publiserte forskningen sin og proof-of-concept-koden 7. oktober.
Samtidig har en offentlig tilgjengelig Nuclei-mal gjort automatisert sårbarhetsskanning enklere. Samlet reduserer disse publiseringene innsatsen som kreves for å identifisere og undersøke eksponerte installasjoner.
Previdian rapporterte om forsøk som stammet fra tre IP-adresser:
- 38.60.157[.]86
- 146.70.187[.]234
- 159.26.119[.]225
Selskapet anbefalte å blokkere disse adressene. Det forutså også at aktiviteten ville øke i løpet av de påfølgende dagene og ukene, med henvisning til det brede omfanget av berørte produkter og de tilgjengelige skanneverktøyene.
Den rapporterte aktiviteten i honeypot-nettverket bekrefter imidlertid utnyttelsesforsøk, ikke vellykkede overtakelser av administratorkontoer i kundesystemer.
Oppdateringer og sikkerhetstiltak krever rask oppfølging
Administratorer bør prioritere de tilgjengelige sikkerhetsoppdateringene for sikkerhetsfeilen for filtilgang i Atlassian. Der umiddelbar oppdatering ikke er praktisk mulig, anbefaler Atlassian produktspesifikke sikkerhetstiltak.
Disse inkluderer å begrense ekstern nettverkstilgang og konfigurere en webapplikasjonsbrannmur eller proxy til å blokkere relevante mønstre for katalogtraversering.
Ytterligere alternativer inkluderer Tomcat RewriteValve-regler for Confluence, Jira Service Management, Jira, Bamboo og Crowd. For Bitbucket omfatter veiledningen en regel for URL-omskriving.
Administratorer bør følge instruksjonene for sitt spesifikke produkt og sin installasjon. Samtidig har watchTowr lansert et gratis skanneverktøy for å hjelpe med å identifisere sårbare instanser.
0 responses to “Angrep mot Atlassians sårbarhet for filtilgang starter bare timer etter at utnyttelseskode ble offentliggjort”