威胁行为者已开始利用新披露的影响 Atlassian 数据中心产品的关键安全漏洞，该漏洞在特定条件下可能允许访问敏感文件。
这一任意文件访问漏洞被追踪为 CVE-2026-21589（CVSS 分数：9.3），影响多个产品，包括 Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible 和 Fisheye。
“这个任意文件访问漏洞允许未经身份验证的攻击者访问受影响版本的 Web 应用程序根目录中的特定文件，”这家澳大利亚公司表示。
“利用该漏洞需要事先了解目标文件的确切名称和路径；该漏洞不允许攻击者枚举或列出目录内容。在某些配置中，可能存在敏感文件，从而增加您的风险。”
Atlassian 表示，受影响的 Atlassian Cloud 产品已被修补，并补充说以下产品的修复程序可用 -
Bitbucket Data Center - 9.4.26、10.2.8 和 10.5.1
Confluence Data Center - 9.2.26 和 10.2.19
Jira Service Management Data Center - 5.12.40、10.3.26 和 11.3.12
Jira Software Data Center - 9.12.40、10.3.26 和 11.3.12
Bamboo Data Center - 10.2.24 和 12.1.12
Crowd Data Center - 6.3.7、7.0.3、7.1.7 和 7.2.4
Crucible - 4.9.15
Fisheye - 4.9.15
作为临时缓解措施，Atlassian 建议客户将其实例从公共互联网中移除，应用 Web 应用防火墙（WAF）规则，使用 Tomcat 的 RewriteValve 阻止请求（针对 Confluence、JSM、Jira、Bamboo 和 Crowd），并在 urlrewrite.xml 中添加新规则（针对 Bitbucket）。
根据 Previdian 的遥测数据，共检测到来自位于日本和美国的三个唯一 IP 地址的 15 次利用尝试 -
38.60.157[.]86
146.70.187[.]234
159.26.119[.]225
针对其蜜罐网络的利用活动据称是在 watchTowr 发布该漏洞的额外技术细节后两小时内开始的，声明该漏洞允许未经身份验证的攻击者通过单个请求检索 Web 根目录中的敏感文件，并提取令牌、凭据、密钥或其他身份验证材料。
根据这家预防性暴露管理公司的说法，根本漏洞与 Atlassian 的 Web 资源处理有关，该处理将像 "..::..::..::..::WEB-INF::web.xml" 这样的字符串转换为 "../../../../WEB-INF/web.xml"。
因此，了解资源解析逻辑的未经身份验证的攻击者可以滥用此路径解析逻辑，并结合 Atlassian 的 "/includes/jquery/plugins/colorpicker/images/" 插件资源，利用尾部的 "/" 来访问应用程序中其他文件（例如，“WEB-INF/web.xml”） -
GET /download/resources/jira.webresources:color-picker-popup/images/..::..::..::..::..::WEB-INF::web.xml HTTP/1.1
Host: {{Jira-Hostname}}
重要的是，在 Atlassian Crowd 和 Jira 的情况下，攻击者可以利用该漏洞访问存储 Crowd 凭据的 "WEB-INF/classes/crowd.properties"，然后使用这些凭据获得对应用程序的管理访问权限。凭借这种特权访问，可能创建新用户、修改用户权限，并将新创建的恶意用户提升为 Jira 管理员。
“在公开利用细节发布后的两小时内，我们已经看到利用尝试击中了我们的蜜罐网络，”Previdian 创始人兼首席执行官 Ryan Dewhurst 在与 The Hacker News 分享的声明中表示。
“发布 Nuclei 模板将使大规模自动扫描变得更加容易，因此我们预计 CVE-2026-21589 的活动将迅速增加。运行受影响的 Atlassian 产品的组织应将修补视为当务之急。”
觉得这篇文章有趣吗？请在 Google News、Twitter 和 LinkedIn 上关注我们，阅读更多我们发布的独家内容。