Das Sicherheitsunternehmen Previdian beobachtete in seinem Honeypot-Netzwerk innerhalb von zwei Stunden nach der Veröffentlichung technischer Analysen und eines öffentlichen Proof of Concept durch watchTowr Angriffsversuche mit CVE-2026-21589.
Die Schwachstelle ermöglicht den nicht authentifizierten Zugriff auf bekannte Dateien im Web-Root betroffener Atlassian-Anwendungen. Sie betrifft acht selbst gehostete Produktfamilien, darunter Jira, Confluence, Bitbucket und Crowd.
The Hacker News berichtete von 15 Versuchen durch drei IP-Adressen. BleepingComputer nannte dieselben Adressen, machte aber keine Angaben zur Zahl der Versuche. Diese Telemetriedaten belegen aktive Scans der Honeypots, nicht jedoch eine bestätigte Kompromittierung von Atlassian-Kundensystemen.
BleepingComputer veröffentlichte seinen Bericht am 7. Oktober 2026 um 08:49 Uhr. Darin hieß es, Atlassian habe seine Sicherheitsmeldung am „Montag“ herausgegeben; ein konkretes Datum wurde jedoch nicht genannt. Dem Bericht zufolge veröffentlichte watchTowr seine technische Analyse nach dieser Meldung. Er datiert die Veröffentlichung der Analyse jedoch nicht auf Montag.
Der genaue Dateipfad ist erforderlich, eine Anmeldung nicht
CVE-2026-21589 ist eine Schwachstelle, die den Zugriff auf beliebige Dateien ermöglicht und folgende selbst gehostete Produkte betrifft:
- Bitbucket Data Center
- Confluence Data Center
- Jira Service Management Data Center
- Jira Software Data Center
- Bamboo Data Center
- Crowd Data Center
- Crucible
- Fisheye
Ein Angreifer benötigt kein Konto. Für einen Exploit muss er jedoch den genauen Namen und Speicherort der Zieldatei kennen, da die Schwachstelle weder eine Verzeichnisauflistung noch eine Enumeration ermöglicht.
Diese Einschränkung erschwert es, über die Schwachstelle selbst Dateien aufzuspüren. Sie hindert Angreifer jedoch nicht daran, vorhersehbare Anwendungsdateien anzufordern. Die Folgen hängen davon ab, welche Dateien in der jeweiligen Konfiguration vorhanden sind und ob sie Zugangsdaten, Tokens, Schlüssel oder andere Authentifizierungsinformationen enthalten.
The Hacker News nannte einen CVSS-Wert von 9.3. Die bereitgestellten NVD-Informationen ordnen die Schwachstelle als CWE-552 ein, enthalten jedoch keinen CVSS-Vektor.
Verifizierte NVD-Daten nennen für vier der acht betroffenen Produktfamilien die Versionen, ab denen die Schwachstelle eingeführt wurde:
- Bitbucket Data Center: ab Version
4.6.0 - Confluence Data Center: ab Version
5.10.0 - Crowd Data Center: ab Version
2.11.0 - Jira Software Data Center: ab Version
7.1.0
Diese Angaben ergeben keine vollständige Übersicht über alle betroffenen Versionen und gepflegten Produktzweige. Administratoren sollten die für ihre Installationen geeigneten behobenen Versionen verwenden, statt die Angaben auf die übrigen vier Produktfamilien zu übertragen.
Atlassian zufolge wurden betroffene Atlassian-Cloud-Produkte bereits gepatcht. In den verfügbaren Berichten werden diese Cloud-Produkte nicht einzeln genannt.
Die Umwandlung von Ressourcenpfaden erzeugt die Traversal-Sequenz
Die technische Analyse führt die Schwachstelle auf eine gemeinsam genutzte Atlassian-Bibliothek für Webressourcen zurück. Den Forschern zufolge wandelt diese Bibliothek doppelte Doppelpunkte (::) in Schrägstriche um.
Ein speziell präparierter Ressourcen-String kann dadurch bei der Verarbeitung zu einem Traversal-Pfad werden. Zum Beispiel:
..::..::..::..::WEB-INF::web.xml
kann wie folgt umgewandelt werden:
../../../../WEB-INF/web.xml
watchTowr kombinierte dieses Verhalten mit Endpunkten für Atlassian-Plugin-Ressourcen. Dabei wurde der Pfad samt abschließendem Schrägstrich einer Plugin-Ressource verwendet, um eine andere Datei innerhalb der Anwendung anzufordern.
The Hacker News berichtete von diesem Beispiel, das auf Jiras WEB-INF/web.xml abzielt:
GET /download/resources/jira.webresources:color-picker-popup/images/..::..::..::..::..::WEB-INF::web.xml HTTP/1.1
Host: {{Jira-Hostname}}
Die Anfrage erfordert keine Authentifizierung. Ihr Erfolg setzt dennoch voraus, dass der Angreifer einen gültigen Zielpfad und Dateinamen kennt.
Laut BleepingComputer gelang es watchTowr, Dateien aus Jira, Confluence und Bitbucket auszulesen. Die demonstrierte Technik der Forscher führte nicht aus dem Anwendungskontext von Tomcat heraus.
Diese Einschränkung gilt für die von watchTowr getestete Methode. Die verfügbaren Erkenntnisse belegen nicht, dass jede mögliche Angriffsmethode derselben Einschränkung unterliegt.
Bei Crowd-Integrationen ist eine Eskalation unter bestimmten Voraussetzungen möglich
Die unmittelbare Folge der Schwachstelle ist der Zugriff auf bestimmte Dateien im Web-Root der Anwendung. Schwerwiegendere Folgen sind möglich, wenn eine lesbare Datei Zugangsdaten enthält, die sich andernorts wiederverwenden lassen.
Die Forscher verwiesen auf WEB-INF/classes/crowd.properties in Jira-Umgebungen, die mit Crowd integriert sind. BleepingComputer zufolge kann diese Datei Klartext-Zugangsdaten für die Crowd-Identitätsplattform enthalten.
Sind die Zugangsdaten gültig, ist Crowd erreichbar und verfügt die betroffene Anwendung über ausreichende Berechtigungen, könnte ein Angreifer über die Crowd-API ein Jira-Administratorkonto erstellen. Administratorzugriff auf Crowd könnte außerdem genutzt werden, um neue Benutzer anzulegen und bestehende Berechtigungen zu ändern.
Zwischen dem Auslesen der Datei und einer solchen Eskalation liegen mehrere Voraussetzungen. Crowd muss vom angreifergesteuerten System aus erreichbar sein – direkt oder über einen anderen Weg. Den Forschern zufolge müsste ein Angreifer möglicherweise über einen anderen Rechner gehen oder eine SSRF-ähnliche Funktion in Jira, Confluence oder Bitbucket nutzen, um Crowd zu erreichen.
Laut der von BleepingComputer wiedergegebenen Analyse würde eine Beschränkung des Crowd-Zugriffs auf eine Liste erlaubter IP-Adressen diesen Angriffsweg erheblich erschweren.
Dabei handelt es sich um bedingte Angriffsketten, die von Forschern beschrieben oder demonstriert wurden. Sie belegen weder, dass es im Zuge der Honeypot-Aktivität zu einer solchen Eskalation kam, noch dass ein Jira-Administratorkonto eines Kunden erstellt wurde.
Atlassian erklärte, nicht feststellen zu können, ob einzelne Kundeninstanzen kompromittiert worden waren.
Honeypot-Daten weisen auf drei scanende IP-Adressen hin
Previdian zufolge gingen bei den Honeypots innerhalb von zwei Stunden, nachdem watchTowr seine Analyse und einen öffentlichen PoC veröffentlicht hatte, erste Exploit-Versuche ein.
The Hacker News bezifferte die Zahl auf 15 Versuche von drei eindeutigen IP-Adressen. Die Adressen seien in Japan und den Vereinigten Staaten verortet gewesen; welcher der beiden Länder die einzelnen Indikatoren zuzuordnen sind, wurde nicht angegeben.
Die gemeldeten Adressen lauten:
38.60.157[.]86146.70.187[.]234159.26.119[.]225
BleepingComputer nannte dieselben drei Indikatoren und berichtete, Previdian habe empfohlen, sie zu blockieren. Die Zahl der Versuche wurde dort jedoch nicht genannt.
Eine Blockierung dieser Adressen kann die von Previdian bereits beobachteten Quellen herausfiltern. Sie verhindert keine Angriffe über andere Infrastruktur und sollte weder ein Update noch eine Filterung von Traversal-Mustern ersetzen.
Ryan Dewhurst von Previdian rechnete mit einer Zunahme der Aktivitäten, da technische Details, ein öffentlicher PoC und eine Nuclei-Scanvorlage für eine breite Produktpalette verfügbar waren. Dabei handelte es sich um eine Prognose, nicht um eine Bestätigung eines späteren Anstiegs der Angriffe.
Behobene Versionen und vorläufige Schutzmaßnahmen
Atlassian forderte Administratoren selbst gehosteter Installationen auf, die verfügbaren Sicherheitsupdates einzuspielen. Als behobene Versionen wurden folgende Releases genannt:
| Produkt | Gemeldete behobene Versionen |
|---|---|
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Dabei handelt es sich um behobene Versionen, nicht um vollständige Angaben zu allen betroffenen Versionsbereichen. Betreiber sollten eine geeignete behobene Version für den von ihnen gepflegten Produktzweig auswählen.
Für Systeme, die nicht sofort aktualisiert werden können, umfassen die von Atlassian gemeldeten vorläufigen Maßnahmen, betroffene Instanzen aus dem öffentlichen Internet zu nehmen und eine Web Application Firewall-Regel anzuwenden. BleepingComputer zufolge kann eine WAF oder ein Proxy die angegebenen Traversal-Muster bei allen acht betroffenen Produktfamilien blockieren, darunter auch Crucible und Fisheye.
Zu den produktspezifischen Maßnahmen gehören:
- Tomcats
RewriteValvefür Confluence, Jira Service Management, Jira Software, Bamboo und Crowd - Eine Regel in
urlrewrite.xmlfür Bitbucket
Die Berichte enthalten nicht die genauen Regeln für WAF, Proxy, RewriteValve oder urlrewrite.xml. watchTowr veröffentlichte zudem einen kostenlosen Scanner, mit dem sich prüfen lässt, ob eine Instanz verwundbar ist. Die Adresse des Scanners war im verfügbaren Material jedoch nicht enthalten.
Die dauerhafte Abhilfe besteht darin, eine behobene Version zu installieren. Netzwerkbeschränkungen und die Filterung von Anfragen verringern das Risiko, bis das Update abgeschlossen ist.
