Atlassian Data Center: одна уязвимость чтения файлов в восьми продуктах и гонка с патчем

Что произошло

Atlassian опубликовала 5 октября 2026 года advisory по CVE-2026-21589 с рейтингом 9.3 (Critical по CVSS 4.0). Уязвимость позволяет неаутентифицированному атакующему читать отдельные файлы внутри корневой директории веб-приложения во всех версиях продуктов до исправленных релизов.

Под удар попали все версии восьми продуктов Data Center: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible и Fisheye, выпущенные до фиксирующих релизов.

Почему пострадали сразу восемь продуктов

Причина — общая библиотека atlassian-plugins-webresource. По данным watchTowr Labs, разница между уязвимой и исправленной установкой сводится к переходу этой библиотеки с версии 6.0.7 на 6.0.8.

Вспомогательный компонент маршрутизации в этой библиотеке заменяет двойное двоеточие на прямой слэш. Запрос, построенный как цепочка двойных двоеточий, на уровне файловой системы превращается в обход директорий. Восемь продуктов унаследовали уязвимость, потому что унаследовали библиотеку.

Что именно позволяет уязвимость

Важная деталь из формулировки самого Atlassian: эксплуатация требует предварительного знания точного имени и пути целевого файла, а перечисление содержимого директорий невозможно. Это чтение конкретного файла по известному имени, а не полноценный файловый браузер.

Тем не менее в директории, где лежат конфигурации и секреты, такой примитив остаётся полезным. Путь эксплуатации идёт через эндпоинты плагинных ресурсов, где контролируемое пользователем имя ресурса попадает в фабрику ресурсов и разрешается относительно локальной файловой системы.

Что добавляет цепочка атаки

Advisory описывает чтение файла. Исследование показывает, чем это чтение становится на реальном развёртывании.

В цепочке важны два файла: архив, сопоставляющий веб-ресурс с файлом, и конфигурация, сопоставляющая продукт с его провайдером идентификации. В развёртываниях с интеграцией Crowd чтение второго файла передаёт учётные данные центрального каталога, что ведёт к административному доступу в Jira, Confluence и Bitbucket. watchTowr продемонстрировал эту цепочку от начала до конца.

Хронология после публикации

• 5 октября 2026 — публикация advisory.

• 7 октября 2026 — появление публичного proof of concept.

• В течение двух часов после публикации PoC сеть honeypot зафиксировала попытки эксплуатации.

Atlassian не может подтвердить, был ли затронут конкретный экземпляр, поэтому обнаружение ложится на клиента.

Что делать

Обнаружение. Проверьте логи доступа на предмет паттерна обхода директорий и рассматривайте каждое срабатывание как факт чтения файла.

Временные меры. Правило WAF или прокси; правило Tomcat RewriteValve для пяти продуктов; правило urlrewrite.xml для Bitbucket. Правила нужно применить на каждом узле кластера, зеркале и узле фермы зеркал.

Обновление. Atlassian поставляет исправления как maintenance-релизы, поэтому для self-hosted команды это проект по обновлению с ответственным и окном работ.

Что это значит для self-hosted команд

Структурный вывод прост: одна общая библиотека за восемью продуктами означает, что одна уязвимость требует синхронного обновления всего парка. Масштаб последствий зависит от того, насколько глубоко в инфраструктуре используются интеграции Crowd — именно они превращают чтение файла в путь к административному доступу.

Первоисточник: DEV.to AI