Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Atlassian wydał poprawki krytycznej podatności w Jira, Confluence i innych produktach Data Center

Rodzaj
Streszczenie
Data
Aktualizacja
Kategoria
Aktualności
Redakcja
Paweł Rosół
Źródło
BleepingComputer ()

Podatność CVE-2026-21589 pozwala nieuwierzytelnionemu atakującemu odczytać wybrane pliki z katalogu głównego aplikacji. Dotyczy instalacji Data Center we własnej infrastrukturze. Atlassian nie widzi dowodów wykorzystania, CERT-EU zaleca aktualizację od instancji dostępnych z internetu.

5 października 2026 r. Atlassian opublikował biuletyn o krytycznej podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-21589. Dotyczy ona instalacji Data Center utrzymywanych we własnej infrastrukturze: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo i Crowd, a także Crucible i Fisheye. CERT-EUCERT-EU Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC. podaje dla niej wynik CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 9,3. Nieuwierzytelniony atakujący może uzyskać dostęp do wybranych plików w katalogu głównym aplikacji webowej, ale musi znać dokładną nazwę i ścieżkę pliku. Podatność nie pozwala wylistować zawartości katalogów. CERT-EU zwraca uwagę, że niektóre konfiguracje mogą zawierać wrażliwe pliki, co zwiększa ryzyko.

Podatne są wszystkie wersje wcześniejsze niż wydane poprawki. Dla Confluence Data Center to 9.2.26 i 10.2.19. Dla Jira Software Data Center oraz Jira Service Management Data Center poprawione są wersje 10.3.26 i 11.3.12, a ponadto 9.12.40 w Jira Software i 5.12.40 w Jira Service Management. Wersje dla pozostałych produktów są w biuletynie Atlassiana. Klienci usług chmurowych nie muszą nic robić, bo Atlassian załatał je automatycznie.

Jeśli używasz któregoś z tych produktów u siebie, sprawdź wersję. CERT-EU zaleca aktualizację do wersji naprawionej jak najszybciej, zaczynając od instancji dostępnych z internetu, oraz przejrzenie logów dostępowych pod kątem śladów wykorzystania. Atlassian i CERT-EU podają, że nie znaleziono dowodów wykorzystania podatności, ale Atlassian zaznacza, że nie jest w stanie ocenić, czy konkretne instancje klientów zostały naruszone.

Gdy aktualizacja nie jest możliwa od razu, CERT-EU zaleca wyłączyć instancję z internetu do czasu poprawki lub zabezpieczenia, także wtedy, gdy wymaga ona logowania użytkownika. Alternatywą jest reguła na zaporze aplikacji webowejZapora aplikacji webowej Zapora filtrująca ruch kierowany do aplikacji webowej; może blokować żądania o określonych wzorcach adresów URL. (WAF) lub na serwerze pośredniczącym albo, zależnie od produktu, reguła w Tomcat lub w konfiguracji Bitbucket. Zmiany trzeba wprowadzić na każdym węźle, w Bitbucket także na serwerach lustrzanych, a przed ich zastosowaniem zrobić kopię zapasową. Przy podejrzeniu naruszenia CERT-EU zaleca przeanalizować instancje, zmienić poświadczenia i sekrety, które mogły zostać ujawnione, i skontaktować się z właściwym organem ds. cyberbezpieczeństwa.

Aktualizacja z 8 października 2026

Opublikowany wyżej tekst podawał, że Atlassian i CERT-EU nie znaleźli dowodów wykorzystania CVE-2026-21589. To już nieaktualne. Według BleepingComputer firma Previdian zaobserwowała 7 października 2026 r. w swojej sieci honeypotów próby wykorzystania podatności bez uwierzytelnienia, w ciągu dwóch godzin od publikacji przez watchTowr raportu technicznego i publicznego PoC. Pojawił się też szablon Nuclei, który ułatwia automatyczne skanowanie. Previdian spodziewa się wyraźnego wzrostu takiej aktywności w ciągu najbliższych dni i tygodni.

Raport watchTowr opisuje też skutek poważniejszy niż odczyt plików. W instalacjach Jira zintegrowanych z Crowd atakujący może odczytać jawne poświadczenia aplikacji z pliku WEB-INF/classes/crowd.properties i przez API Crowd utworzyć konto administratora Jira, o ile Crowd jest osiągalny, a aplikacja ma wystarczające uprawnienia. Badacze wskazują, że lista dozwolonych adresów IP znacząco utrudnia taki atak. Ich technika nie wychodzi poza kontekst aplikacji Tomcat. Sekurak potwierdza, że w pewnych konfiguracjach podatność może prowadzić do nieautoryzowanego dostępu administratora.

Previdian zaobserwował próby z trzech adresów: 38.60.157[.]86, 146.70.187[.]234 i 159.26.119[.]225, i zaleca ich zablokowanie. watchTowr udostępnił darmowy skaner, który pozwala sprawdzić, czy dana instancja jest podatna.

Źródła

Pojęcia w tym tekście (4)
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CERT-EU
Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
Zapora aplikacji webowej
Zapora filtrująca ruch kierowany do aplikacji webowej; może blokować żądania o określonych wzorcach adresów URL.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.