Krytyczna luka w Atlassian: wyciek plików

Krytyczna podatność w produktach Atlassian

Atlassian załatał krytyczną lukę oznaczoną jako CVE-2026-21589, która dotyczy ośmiu samoobsługowych produktów z rodziny Data Center. Problem ma wysoką ocenę CVSS 9,3 i w praktyce może umożliwić zdalny odczyt wybranych plików bez uwierzytelnienia.

Według dostępnych informacji podatność jest już wykorzystywana w środowisku rzeczywistym. Pierwsze doniesienia wskazywały na aktywność wymierzoną w Bamboo Data Center.

Które produkty są zagrożone

Luka obejmuje następujące rozwiązania Atlassian:

• Bitbucket Data Center
• Confluence Data Center
• Jira Service Management Data Center
• Jira Software Data Center
• Bamboo Data Center
• Crowd Data Center
• Crucible
• Fisheye

To ważne, bo nie chodzi o jeden izolowany produkt, lecz o wspólne komponenty platformy Atlassian. Problem leży w bibliotece atlassian-plugins-webresource, która obsługuje zasoby webowe i odpowiada za logikę ścieżek plików.

Na czym polega atak

Atakujący, który nie ma konta w systemie, może próbować odczytać pliki znajdujące się w katalogu głównym aplikacji webowej. Sam błąd nie pozwala przeglądać całych katalogów ani ich wyliczać, ale wymaga jedynie znajomości dokładnej nazwy i ścieżki do pliku.

To ograniczenie nie uspokaja jednak administratorów. W niektórych konfiguracjach w katalogu webroot mogą znajdować się pliki zawierające wrażliwe dane.

Szczególnie istotny jest tu Crowd, bo pełni rolę centralnej usługi tożsamości i uwierzytelniania. W integracjach Atlassian inne produkty mogą przechowywać w plikach konfiguracyjnych dane dostępowe do Crowd. Jeśli napastnik pobierze taki plik, może potencjalnie przejąć dostęp do dalszych systemów. W praktyce otwiera to drogę nawet do uprawnień administratora Jira.

Co trzeba zaktualizować

Atlassian opublikował poprawione wersje dla wszystkich podatnych produktów:

• Bitbucket Data Center: 9.4.26, 10.2.8, 10.5.1
• Confluence Data Center: 9.2.26, 10.2.19
• Jira Service Management Data Center: 5.12.40, 10.3.26, 11.3.12
• Jira Software Data Center: 9.12.40, 10.3.26, 11.3.12
• Bamboo Data Center: 10.2.24, 12.1.12
• Crowd Data Center: 6.3.7, 7.0.3, 7.1.7, 7.2.4
• Crucible: 4.9.15
• Fisheye: 4.9.15

Jeśli to możliwe, najlepiej przejść od razu na wersję naprawioną lub nowszą.

Co zrobić, jeśli nie można od razu załatać

Atlassian zaleca tymczasowe środki ochrony, jeśli aktualizacja nie jest możliwa natychmiast:

• zastosowanie reguły WAF dla wszystkich podatnych produktów,
• użycie Tomcat RewriteValve dla Confluence, Jira, Jira Service Management, Bamboo i Crowd,
• dodanie odpowiedniej reguły do urlrewrite.xml w przypadku Bitbucket.

W praktyce oznacza to, że firmy powinny albo szybko wdrożyć poprawki, albo czasowo odciąć instancję od Internetu do momentu wykonania aktualizacji.

Cloud bez zagrożenia, ale on-premise już tak

Problem dotyczy instalacji zarządzanych samodzielnie. Usługi Atlassian Cloud zostały już poprawione po stronie dostawcy. Dla administratorów własnych wdrożeń oznacza to jednak pilną potrzebę sprawdzenia wszystkich instancji i poszukiwania oznak kompromitacji.

Warto też pamiętać, że produkty Atlassian wystawione do Internetu są częstym celem ataków, także ze strony grup ransomware. W takim przypadku czas reakcji ma kluczowe znaczenie.

Dlaczego ta podatność jest groźna

Na pierwszy rzut oka mamy do czynienia „tylko” z błędem odczytu plików. W praktyce jednak tego typu luka może dać napastnikowi znacznie więcej, jeśli w katalogach aplikacji znajdują się:

• pliki konfiguracyjne,
• sekrety integracyjne,
• dane dostępowe do innych usług,
• informacje umożliwiające dalszy ruch w sieci.

Dlatego CVE-2026-21589 należy traktować jako wysokie ryzyko operacyjne, a nie jedynie techniczny incydent ograniczony do pojedynczego komponentu.