Kritieke kwetsbaarheid in Atlassian-producten wordt actief misbruikt

Een ernstige kwetsbaarheid (CVE-2026-21589) in verschillende Atlassian-producten zoals Jira, Confluence en Bitbucket wordt momenteel actief misbruikt door aanvallers zonder dat authenticatie vereist is. Beveiligingsbedrijf Previdian ontdekte deze aanvallen op hun honeypot-netwerk, kort nadat een gedetailleerd technisch rapport over de kwetsbaarheid was gepubliceerd.

De kwetsbaarheid stelt een niet-geauthenticeerde aanvaller in staat om toegang te krijgen tot specifieke bestanden in de webrootdirectory van de applicatie, mits ze de exacte naam en het pad van het bestand kennen. Dit betreft een probleem met willekeurige bestands toegang, dat maandag openbaar werd gemaakt en van invloed is op zelf-gehoste versies van acht Atlassian-producten.

Atlassian heeft systeembeheerders gewaarschuwd om de beveiligingsupdates zo snel mogelijk toe te passen, aangezien het niet kan vaststellen of individuele klantinstellingen zijn gecompromitteerd. Na deze waarschuwing publiceerde het offensieve beveiligingsbedrijf watchTowr een technisch rapport waarin werd aangetoond hoe CVE-2026-21589 kan worden misbruikt om administrator-toegang te verkrijgen tot Jira, Confluence en Bitbucket in bepaalde Crowd-geïntegreerde implementaties.

Atlassian Crowd biedt gecentraliseerd identiteitsbeheer, single sign-on (SSO), authenticatie, autorisatie en toegangsbeheer voor verbonden Data Center-apps. De onderzoekers van watchTowr maakten gebruik van de oorzaak van de kwetsbaarheid, die ligt in een gedeelde webresourcebibliotheek die dubbele dubbele punten (::) omzet in schuine strepen (/), om directory-traversal-aanvragen te construeren en beveiligde applicatiebestanden zonder authenticatie op te halen.

In Crowd-geïntegreerde Jira-implementaties kunnen aanvallers platte teksttoegangsgegevens van de applicatie lezen uit het bestand WEB-INF/classes/crowd.properties en deze gebruiken om een Jira-beheerdersaccount aan te maken via de API van Crowd. Dit is mogelijk als Crowd bereikbaar is en de applicatie voldoende rechten heeft. Het specificeren van een lijst met toegestane IP-adressen zou de exploitatie echter aanzienlijk moeilijker maken.