Angriffe auf Atlassian-Sicherheitslücke beim Dateizugriff beginnen nur Stunden nach Veröffentlichung des Exploit-Codes

Angreifer haben begonnen, eine kritische Schwachstelle in selbst gehosteter Atlassian-Software ins Visier zu nehmen, nachdem öffentlicher Proof-of-Concept-Code veröffentlicht wurde. Die Atlassian-Sicherheitslücke beim Dateizugriff, die unter CVE-2026-21589 erfasst wird, betrifft acht Produktfamilien, darunter Jira, Confluence und Bitbucket.

Das Sicherheitsunternehmen Previdian meldete innerhalb von zwei Stunden nach der Veröffentlichung technischer Details durch Forscher Ausnutzungsversuche in seinem Honeypot-Netzwerk. Diese Beobachtungen belegen jedoch nicht, wie viele Kundensysteme Angreifer tatsächlich kompromittiert haben.

Acht Atlassian-Produktfamilien sind betroffen

Atlassian veröffentlichte die Sicherheitslücke am 5. Oktober und forderte Administratoren auf, die Sicherheitsupdates umgehend zu installieren. Folgende Produkte sind betroffen:

• Bitbucket Data Center
• Confluence Data Center
• Jira Service Management Data Center
• Jira Software Data Center
• Bamboo Data Center
• Crowd Data Center
• Crucible
• Fisheye

Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, bestimmte Dateien innerhalb des Web-Stammverzeichnisses einer Anwendung abzurufen. Allerdings müssen sie den genauen Dateinamen und Dateipfad kennen.

Atlassian erklärte außerdem, dass das Unternehmen nicht feststellen könne, ob einzelne Kundeninstallationen kompromittiert wurden.

Offengelegte Dateien können Administratorzugriff ermöglichen

Forscher von watchTowr führten die Schwachstelle auf eine gemeinsam genutzte Bibliothek zurück, die Webressourcen verarbeitet. Die Bibliothek wandelt doppelte Doppelpunkte in Schrägstriche um. Dadurch können speziell präparierte Anfragen die vorgesehenen Beschränkungen für den Dateizugriff umgehen.

Bei Tests gelang es den Forschern, geschützte Dateien aus Jira, Confluence und Bitbucket abzurufen, ohne sich anzumelden. Ihre Methode konnte jedoch nicht über den Tomcat-Anwendungskontext hinaus auf Dateien zugreifen.

In bestimmten Umgebungen mit Crowd-Integration können die Folgen über die Offenlegung von Dateien hinausgehen. Crowd verwaltet Identitäten, Authentifizierung und Zugriffsberechtigungen über verbundene Anwendungen hinweg.

In einigen Jira-Installationen konnten die Forscher Anmeldedaten einer Anwendung im Klartext aus einer Crowd-Konfigurationsdatei auslesen. Anschließend demonstrierten sie, wie sich mit diesen Zugangsdaten über die Crowd-API ein Jira-Administratorkonto erstellen ließ.

Diese Rechteausweitung setzt voraus, dass Crowd erreichbar ist und das Anwendungskonto über ausreichende Berechtigungen verfügt. Daher führt der Dateizugriff nicht automatisch zur Administratorkontrolle über jede betroffene Installation.

Wird der Zugriff auf Crowd auf zugelassene IP-Adressen beschränkt, lässt sich dieser Angriffsweg schwerer ausnutzen. Ein Angreifer müsste dann einen anderen Weg finden, um den Dienst zu erreichen.

Auf die Veröffentlichung der Forschung folgten schnell Angriffsversuche

Previdian entdeckte kurz nachdem watchTowr am 7. Oktober seine Forschungsergebnisse und den Proof-of-Concept-Code veröffentlicht hatte, erste Ausnutzungsversuche.

Unterdessen hat eine öffentlich verfügbare Nuclei-Vorlage die automatisierte Suche nach Schwachstellen erleichtert. Zusammen verringern diese Veröffentlichungen den Aufwand, der erforderlich ist, um exponierte Installationen zu identifizieren und auf Schwachstellen zu untersuchen.

Previdian meldete Angriffsversuche von drei IP-Adressen:

• 38.60.157[.]86
• 146.70.187[.]234
• 159.26.119[.]225

Das Unternehmen empfahl, diese Adressen zu blockieren. Zudem prognostizierte es eine Zunahme der Aktivitäten in den folgenden Tagen und Wochen und verwies dabei auf die große Zahl betroffener Produkte sowie die verfügbaren Scanwerkzeuge.

Die gemeldeten Aktivitäten im Honeypot-Netzwerk bestätigen jedoch lediglich Ausnutzungsversuche und keine erfolgreichen Übernahmen von Administratorkonten in Kundensystemen.

Updates und Schutzmaßnahmen erfordern schnelles Handeln

Administratoren sollten die verfügbaren Sicherheitsupdates für die Atlassian-Sicherheitslücke beim Dateizugriff vorrangig installieren. Wenn eine sofortige Aktualisierung nicht praktikabel ist, empfiehlt Atlassian produktspezifische Schutzmaßnahmen.

Dazu gehören die Einschränkung des externen Netzwerkzugriffs sowie die Konfiguration einer Web Application Firewall oder eines Proxys, um die entsprechenden Muster für Directory-Traversal-Angriffe zu blockieren.

Weitere Möglichkeiten umfassen Tomcat-RewriteValve-Regeln für Confluence, Jira Service Management, Jira, Bamboo und Crowd. Für Bitbucket enthalten die Empfehlungen eine Regel zur URL-Umschreibung.

Administratoren sollten die Anweisungen für ihr jeweiliges Produkt und ihre spezifische Bereitstellung befolgen. Unterdessen hat watchTowr ein kostenloses Scanwerkzeug veröffentlicht, das bei der Identifizierung anfälliger Instanzen helfen soll.