🚨 Atlassian Data Center: чтение файлов без авторизации. Атаки начались через 2 часа после публикации деталей

Коллеги, после ухода Atlassian многие команды в РФ зафиксировали инфраструктуру на self-hosted инстансах Jira и Confluence Data Center. Этот пост — прямой сигнал на аудит периметра.

📌 ФАКТЫ
Идентификатор и критичность: CVE-2026-21589, базовый балл CVSS 9.3 — неаутентифицированное чтение произвольных файлов (Arbitrary File Read) в контексте каталога веб-приложения.

Специфика вектора: прямого листинга каталогов нет — атакующему необходимо знать точный относительный путь и целевое имя файла.

Масштаб покрытия: уязвимы Data Center редакции практически всей линейки: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye.

Скорость реагирования ботнетов: первые попытки эксплуатации в wild зафиксированы примерно через 2 часа после выхода технического разбора от исследователей watchTowr. На текущий момент фиксируется массовое автоматизированное сканирование с вычиткой дефолтных путей конфигурационных файлов.

Исправленные релизы вендора:

Plaintext

Jira Software / JSM : 9.12.40 · 10.3.26 · 11.3.12 (JSM: 5.12.40)
Confluence          : 9.2.26  · 10.2.19
Bitbucket           : 9.4.26  · 10.2.8   · 10.5.1
Crowd               : 6.3.7   · 7.0.3   · 7.1.7 · 7.2.4
Bamboo              : 10.2.24 · 12.1.12
Crucible / Fisheye  : 4.9.15

🛠 ВРЕМЕННЫЙ МИТИГЕЙТ (ЕСЛИ НЕТ ВОЗМОЖНОСТИ НАКАТИТЬ ПАТЧ ПРЯМО СЕЙЧАС)
Изоляция сетевого контура: немедленно убрать внешние публикации (0.0.0.0/0) за корпоративный VPN или reverse-proxy с пре-аутентификацией.

Фильтрация на обратном прокси / WAF: заблокировать сигнатуры обращения к внутренним служебным эндпоинтам веб-приложения.

Локальная блокировка веб-сервера:

Для Jira, Confluence, Bamboo, Crowd — подключение модуля Tomcat RewriteValve в конфигурации контейнера сервлетов (server.xml / rewrite.config);

Для Bitbucket — активация правил отсечения запросов через urlrewrite.xml по вендорскому security bulletin.

💡 В ЧЁМ СУТЬ

Чтение файлов без RCE кажется неопасным лишь на первый взгляд.

В каталогах веб-приложений лежат файлы вроде

dbconfig.xml

, содержащие логины и открытые пароли к базам данных PostgreSQL/Oracle, секреты сессий, приватные ключи подписи и API-токены интеграций.

Если ваш инстанс торчал наружу в публичный интернет — простого наката патча недостаточно. После обновления обязательно проведите ротацию пароля сервисной учетной записи БД в СУБД и перевыпустите все связанные токены интеграций.

#security #atlassian #jira #confluence #bitbucket #cve #threathunting #devops #sysadmin #admin_future