Злоумышленники начали использовать недавно обнаруженную критическую уязвимость безопасности, затрагивающую продукты Atlassian Data Center, которая при определенных условиях может предоставить доступ к конфиденциальным файлам. Уязвимость произвольного доступа к файлам, отслеживаемая как CVE-2026-21589 (оценка CVSS: 9,3), затрагивает несколько продуктов, включая Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible и Fisheye. «Эта уязвимость произвольного доступа к файлам позволяет неаутентифицированному злоумышленнику получить доступ к определенным файлам в корневом каталоге веб-приложения в затронутых версиях», — заявила австралийская компания. «Для эксплуатации требуется предварительное знание точного имени и пути к целевому файлу; эта уязвимость не позволяет злоумышленникам перечислять или просматривать содержимое каталогов. В некоторых конфигурациях могут присутствовать конфиденциальные файлы, увеличивающие ваш риск». Atlassian заявила, что затронутые продукты Atlassian Cloud были исправлены, добавив, что исправления доступны для следующих продуктов. В качестве временной меры Atlassian рекомендует клиентам отключить свои экземпляры от общедоступного Интернета, применить правило межсетевого экрана веб-приложений (WAF), блокировать запросы с использованием Tomcat’s RewriteValve (для Confluence, JSM, Jira, Bamboo и Crowd) и добавить новое правило в urlrewrite.xml (для Bitbucket). По данным телеметрии от Previdian, было зафиксировано в общей сложности 15 попыток эксплуатации из трех уникальных IP-адресов, расположенных в Японии и США. Сообщается, что активность эксплуатации, нацеленная на их сеть ловушек, началась через два часа после того, как WatchTowr опубликовала дополнительные технические сведения об уязвимости, заявив, что она позволяет неаутентифицированным злоумышленникам получать конфиденциальные файлы в каталоге веб-корня посредством одного запроса и извлекать токены, учетные данные, ключи или другие материалы аутентификации. По данным фирмы по управлению превентивным раскрытием, лежащая в основе уязвимость связана с обработкой веб-ресурсов Atlassian, которая преобразует строку вида «..::..::..::..::WEB-INF::web.xml» в «../../../../WEB-INF/web.xml». В результате неаутентифицированный злоумышленник, знающий логику разрешения путей, может злоупотребить этой логикой и объединить ее с ресурсом плагина Atlassian «/includes/jquery/plugins/colorpicker/images/», используя конечный «/» для доступа к другим файлам (например, «WEB-INF/web.xml») в другом месте приложения. Важно отметить, что в случае Atlassian Crowd и Jira злоумышленник мог использовать эту уязвимость для доступа к «WEB-INF/classes/crowd.properties», где хранятся учетные данные Crowd, а затем использовать их для получения административного доступа к приложению. Обладая этим привилегированным доступом, можно создавать новых пользователей, изменять права пользователей и повышать уровень недавно созданного вредоносного пользователя до администратора Jira. «В течение двух часов после того, как общедоступные сведения об эксплуатации стали доступны, мы уже видели попытки эксплуатации, нацеленные на нашу сеть ловушек», — заявил в своем заявлении для The Hacker News Райан Дьюхерст, основатель и генеральный директор Previdian. «Выпуск шаблона Nuclei облегчит массовое автоматизированное сканирование, поэтому мы ожидаем быстрого роста активности вокруг CVE-2026-21589. Организациям, использующим затронутые продукты Atlassian, следует рассматривать установку исправлений как немедленный приоритет».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
