Atlassian załatał krytyczną podatność CVE-2026-21589 (CVSS 9.3) w całej rodzinie produktów Data Center. Gdy tylko firma watchTowr opublikowała szczegóły techniczne, w ciągu około dwóch godzin pojawiły się pierwsze próby ataków. To kolejny dowód, że okno między ujawnieniem luki a jej masową eksploatacją praktycznie zniknęło.
Czego dotyczy problem
Luka pozwala niezalogowanemu atakującemu odczytać wybrane pliki z katalogu aplikacji webowej, na przykład WEB-INF/web.xml. Błąd wynika ze sposobu, w jaki mechanizm obsługi zasobów webowych rozwiązuje ścieżki — kluczowy jest dopisany ukośnik w zasobie wtyczki colorpicker. Podatne są Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo i Crowd w wersjach Data Center, a także Crucible i Fisheye. Wersje chmurowe Atlassian zostały już załatane po stronie producenta.
Dlaczego to groźne
Atakujący musi znać dokładną nazwę i ścieżkę pliku, więc na pierwszy rzut oka wygląda to na ograniczone ryzyko. Problem w tym, że w Crowd i Jirze można w ten sposób dobrać się do pliku crowd.properties, który zawiera dane uwierzytelniające do Crowda. Mogą one dać dostęp administracyjny, a stąd już krótka droga do przejęcia repozytoriów kodu, dokumentacji i zgłoszeń serwisowych. Na razie obserwowano głównie skanowanie i fingerprinting produktów oraz poszukiwanie typowych plików konfiguracyjnych, bez potwierdzonych działań po włamaniu — ale to zwykle faza przygotowawcza.
Co zrobić
Najważniejsze jest wdrożenie poprawek: Confluence Data Center 9.2.26 lub 10.2.19, Bitbucket 9.4.26, 10.2.8 lub 10.5.1, Jira Software i JSM 10.3.26 lub 11.3.12 (oraz odpowiednio 9.12.40 i 5.12.40), Bamboo 10.2.24 lub 12.1.12, Crowd 6.3.7, 7.0.3, 7.1.7 lub 7.2.4, a w Crucible i Fisheye 4.9.15. Jeśli aktualizacja nie jest możliwa od razu, warto:
- wyłączyć instancję z dostępu publicznego z internetu,
- wdrożyć regułę WAF blokującą podejrzone żądania,
- zastosować reguły przepisywania adresów (RewriteValve w Tomcacie lub urlrewrite.xml w Bitbucket),
- po aktualizacji zmienić hasła i klucze zapisane w plikach konfiguracyjnych, zwłaszcza dane dostępowe Crowda,
- przejrzeć logi pod kątem nietypowych odwołań do plików konfiguracyjnych.
Podsumowanie
Atlassian Data Center jest sercem pracy wielu zespołów IT i software house’ów, więc każda taka luka trafia w bardzo wartościowy cel. Lekcja jest prosta: narzędzia deweloperskie i do współpracy nie powinny być wystawione do internetu bez ochrony, a poprawki trzeba instalować w godzinach, nie w tygodniach. Administratorzy, którzy jeszcze nie zaktualizowali swoich instalacji, powinni zrobić to dziś.
źródło: https://thehackernews.com/2026/10/atlassian-data-center-flaw-draws.html