Angribere er begyndt at målrette angreb mod en kritisk sårbarhed i Atlassians selvhostede software efter offentliggørelsen af proof-of-concept-kode. Sikkerhedsfejlen i Atlassians filadgang, der er registreret som CVE-2026-21589, påvirker otte produktfamilier, herunder Jira, Confluence og Bitbucket.
Sikkerhedsvirksomheden Previdian rapporterede om udnyttelsesforsøg på sit honeypot-netværk inden for to timer efter, at forskere offentliggjorde tekniske detaljer. Disse observationer fastslår dog ikke, hvor mange kundesystemer angriberne har kompromitteret.
Otte Atlassian-produktfamilier er berørt
Atlassian offentliggjorde sårbarheden den 5. oktober og opfordrede administratorer til at installere sikkerhedsopdateringer hurtigst muligt. De berørte produkter er:
- Bitbucket Data Center
- Confluence Data Center
- Jira Service Management Data Center
- Jira Software Data Center
- Bamboo Data Center
- Crowd Data Center
- Crucible
- Fisheye
Sårbarheden gør det muligt for angribere uden autentificering at hente bestemte filer inden for en applikations webrodsmappe. De skal dog kende det præcise filnavn og den nøjagtige filsti.
Atlassian oplyste også, at virksomheden ikke kan afgøre, om individuelle kundeinstallationer er blevet kompromitteret.
Eksponerede filer kan muliggøre administratoradgang
Forskere hos watchTowr sporede svagheden til et delt bibliotek, der håndterer webressourcer. Biblioteket omdanner dobbelte koloner til skråstreger, hvilket gør det muligt for særligt udformede anmodninger at omgå de tilsigtede begrænsninger for filadgang.
Under test hentede forskerne beskyttede filer fra Jira, Confluence og Bitbucket uden at logge ind. Deres metode kunne dog ikke nå uden for Tomcat-applikationens kontekst.
Konsekvenserne kan række ud over eksponerede filer i visse miljøer, der er integreret med Crowd. Crowd administrerer identiteter, autentificering og adgangstilladelser på tværs af tilknyttede applikationer.
I visse Jira-installationer hentede forskerne applikationsloginoplysninger i klartekst fra en Crowd-konfigurationsfil. Derefter demonstrerede de, hvordan disse oplysninger kunne gøre det muligt at oprette en Jira-administratorkonto gennem Crowds API.
Denne rettighedseskalering afhænger af, at Crowd er tilgængelig, og at applikationskontoen har tilstrækkelige tilladelser. Derfor giver filadgang ikke automatisk administratorkontrol over alle berørte installationer.
Begrænsning af adgangen til Crowd til godkendte IP-adresser gør denne angrebsvej vanskeligere at udnytte. En angriber vil derefter have brug for en anden måde at nå tjenesten på.
Offentlig forskning blev hurtigt fulgt af angrebsforsøg
Previdian opdagede udnyttelsesforsøg kort efter, at watchTowr offentliggjorde sin forskning og proof-of-concept-kode den 7. oktober.
Samtidig har en offentligt tilgængelig Nuclei-skabelon gjort automatiseret sårbarhedsscanning lettere. Tilsammen reducerer disse offentliggørelser den indsats, der kræves for at identificere og undersøge eksponerede installationer.
Previdian rapporterede om forsøg, der stammede fra tre IP-adresser:
- 38.60.157[.]86
- 146.70.187[.]234
- 159.26.119[.]225
Virksomheden anbefalede at blokere disse adresser. Den forudsagde også, at aktiviteten ville stige i løbet af de følgende dage og uger, med henvisning til det brede omfang af berørte produkter og de tilgængelige scanningsværktøjer.
Den rapporterede aktivitet på honeypot-netværket bekræfter dog udnyttelsesforsøg snarere end vellykkede overtagelser af administratorkonti i kundesystemer.
Opdateringer og sikkerhedsforanstaltninger kræver hurtig handling
Administratorer bør prioritere de tilgængelige sikkerhedsopdateringer til sikkerhedsfejlen i Atlassians filadgang. Hvor øjeblikkelig opdatering ikke er praktisk mulig, anbefaler Atlassian produktspecifikke sikkerhedsforanstaltninger.
Disse omfatter begrænsning af ekstern netværksadgang og konfiguration af en webapplikationsfirewall eller proxy til at blokere relevante mønstre for katalogtraversering.
Yderligere muligheder omfatter Tomcat RewriteValve-regler til Confluence, Jira Service Management, Jira, Bamboo og Crowd. For Bitbucket omfatter vejledningen en regel til URL-omskrivning.
Administratorer bør følge instruktionerne for deres specifikke produkt og installation. Samtidig har watchTowr frigivet et gratis scanningsværktøj, der kan hjælpe med at identificere sårbare instanser.
0 svar til “Angreb mod Atlassians sårbarhed i filadgang begynder få timer efter offentliggørelsen af udnyttelseskode”