RUEN
Новости · Безопасность файлов

Atlassian закрывает критическую дыру: без пароля можно было прочитать любой файл сервера Jira и Confluence

5 октября 2026 года Atlassian выпустила патчи для CVE-2026-21589 (CVSS 9.3) — уязвимости в обработке веб-ресурсов Data Center-продуктов, которая позволяет неаутентифицированному атакующему прочитать произвольный файл внутри корня веб-приложения на сервере. Публичный PoC появился 6 октября, и эксплуатация в реальных атаках началась уже в течение двух часов после его публикации.

13 октября 2026 Редакция LoadFile Чтение 6 мин
Треснувшая папка с утечкой бинарных данных на фоне серверной стойки — уязвимость Atlassian CVE-2026-21589

Коротко: CVE-2026-21589 (CVSS 9.3) — path traversal в веб-обработке ресурсов Atlassian Data Center. Уязвимый код превращает двойное двоеточие «::» в слэш при разборе пути, из-за чего атакующий без входа может прочитать конкретный файл внутри корня веб-приложения — например конфиг Crowd с учётными данными. Затронуты Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible и Fisheye Data Center. Патчи вышли 5 октября 2026, PoC опубликован 6 октября — обновляться нужно немедленно.

Что произошло

5 октября 2026 года Atlassian опубликовала экстренный бюллетень безопасности о критической уязвимости CVE-2026-21589 в восьми Data Center- и Server-продуктах компании. Уязвимость получила оценку CVSS 9.3 и классифицирована как arbitrary file read — произвольное чтение файлов без аутентификации.

Облачные (Cloud) версии продуктов Atlassian уже были защищены на момент раскрытия, и компания не зафиксировала следов эксплуатации в облаке. Под угрозой — только самостоятельно развёрнутые (self-hosted) инстансы Data Center и Server, где обновление требует ручных действий администратора.

Как работает уязвимость

Технический разбор показал: проблема — в механизме обработки веб-ресурсов (web-resource handling) Atlassian. Код, отвечающий за разрешение запрошенного пути к файлу, при определённых условиях конвертирует последовательность двойного двоеточия «::» в прямой слэш. Специально сконструированный запрос с такой последовательностью проходит через фильтры защиты от path traversal и добирается до произвольного файла внутри корневой директории веб-приложения на сервере.

Атакующему не требуется ни учётная запись, ни взаимодействие пользователя — запрос отправляется напрямую на уязвимый endpoint. Ограничение одно: нужно точно знать имя и путь нужного файла, поскольку уязвимость не позволяет получить листинг содержимого директорий.

!
Конфиг Crowd — особо опасная цель

Среди файлов, которые можно прочитать таким способом, — crowd.properties с учётными данными сервиса каталогов Crowd. Получив их, атакующий может обратиться к API управления пользователями Crowd, создать учётную запись и добавить её в группу администраторов Jira — то есть довести чтение одного файла до полного захвата системы.

Какие продукты и версии затронуты

Уязвимы все версии ниже перечисленных ниже исправленных сборок — обновление обязательно для любого self-hosted инстанса:

  • Jira Software Data Center — исправлено в 9.12.40, 10.3.26, 11.3.12 и новее.
  • Confluence Data Center — исправлено в 9.2.26, 10.2.19 и новее.
  • Bitbucket Data Center — исправлено в 9.4.26, 10.2.8, 10.5.1 и новее.
  • Crowd Data Center — исправлено в 6.3.7, 7.0.3, 7.1.7, 7.2.4 и новее.
  • Jira Service Management, Bamboo, Crucible, Fisheye Data Center — также затронуты, патчи выпущены синхронно с остальными продуктами.

Все версии, выпущенные до указанных сборок, считаются уязвимыми.

PoC и эксплуатация в реальных атаках

6 октября 2026 года, на следующий день после публикации патчей, в открытом доступе появился рабочий proof-of-concept. По данным исследователей безопасности, первые попытки эксплуатации в реальных атаках начались уже в течение двух часов после публикации PoC — типичный для критичных CVE сценарий, когда промежуток между раскрытием и массовым сканированием сокращается до часов.

Такой короткий разрыв означает, что администраторам, которые ещё не обновились, стоит исходить из того, что их инстансы уже находятся под активным сканированием или атакой, а не только теоретически уязвимы.

Что делать прямо сейчас

  1. Обновите все затронутые продукты до версий, указанных в бюллетене Atlassian, — это единственный надёжный способ закрыть уязвимость.
  2. Если обновить немедленно нельзя — ограничьте сетевой доступ к инстансу (VPN, файрвол, allowlist по IP), чтобы снизить поверхность атаки до патча.
  3. Проверьте логи веб-сервера и приложения на признаки запросов с последовательностями :: и декодированными path traversal-паттернами (../, ..\\) к нетипичным путям.
  4. Ротируйте секреты Crowd (crowd.properties и связанные учётные данные), если есть подозрение, что инстанс мог быть атакован до обновления.
  5. Проверьте список администраторов Jira и пользователей Crowd на предмет неожиданно созданных аккаунтов — это косвенный признак эскалации через утечку credentials.
✓
Как быстро понять, под угрозой ли ваш инстанс

Сверьте установленную версию продукта (раздел «О программе» / System Info в админке) с номерами исправленных сборок из бюллетеня Atlassian. Любая версия ниже указанной — обновление нужно уже сегодня, а не в ближайшем плановом окне.

Контекст: файлы конфигурации как цель атаки

CVE-2026-21589 — ещё один пример того, как уязвимость в обработке пути к файлу превращает «просто чтение» в цепочку полной компрометации сервера. Сам по себе файл crowd.properties — обычный текстовый конфиг, но его утечка открывает прямой путь к API управления пользователями. Похожий класс проблем мы разбирали на примере Gitea, где вредоносный патч-файл превращался в исполняемый Git-хук: в обоих случаях опасность не в формате файла как таковом, а в том, как уязвимый серверный код этот файл обрабатывает. Какие расширения и форматы чаще всего используют для атак на файловые системы — смотрите в нашей карте опасных расширений, а общие принципы защиты инфраструктуры от подобных уязвимостей — в разделе безопасность файлов.

Источники

Читайте также