Atlassian-sårbarhet utnyttjas efter offentlig proof of concept

Angripare försöker utnyttja en kritisk sårbarhet för filåtkomst i Atlassian efter att forskare publicerat en teknisk rapport och en offentlig proof of concept. Säkerhetsföretaget Previdian upptäckte försök i sitt honeypotnätverk inom två timmar efter publiceringen, enligt företaget.

Sårbarheten, CVE-2026-21589, berör egenhostade instanser inom åtta produktfamiljer från Atlassian, däribland Jira, Confluence och Bitbucket. Angripare utan autentisering som känner till en fils exakta namn och sökväg kan komma åt vissa filer i programmets webbrotskatalog.

Forskare från watchTowr bekräftade filläsning i Jira, Confluence och Bitbucket. I vissa driftsmiljöer som är integrerade med Atlassian Crowd kan angripare använda uppgifter som läckt från en konfigurationsfil för att skapa ett administratörskonto i Jira, om Crowd är åtkomligt och programmet har tillräckliga behörigheter. Forskarna uppgav att det skulle försvåra exploatering att begränsa vilka IP-adresser som får nå Crowd.

Previdian uppgav att företaget sett försök från tre IP-adresser och väntar sig ökad aktivitet när offentliga exploateringsdetaljer och den automatiserade skanningsmallen Nuclei blir tillgängliga. Ryan Dewhurst från företaget sade till BleepingComputer att aktiviteten i honeypotnätverket började inom två timmar efter watchTowrs rapport och proof of concept.

Atlassian uppmanade administratörer för egenhostade instanser att installera säkerhetsuppdateringar snarast. Rekommenderade åtgärder omfattar att begränsa extern nätverksåtkomst och använda brandväggs-, proxy- eller URL-omskrivningsregler för att blockera sökvägsmönster för katalogtraversering. watchTowr har också släppt en skanner som hjälper administratörer att kontrollera om deras instanser är sårbara.