חולשה קריטית ב-Jira וב-Confluence בהתקנה מקומית נוצלה שעתיים אחרי שפורסם ניתוח
Atlassian הזהירה מחולשה בשמונה ממוצרי ה-Data Center שלה, שמאפשרת לקרוא קבצים מהשרת בלי סיסמה. ניסיונות ניצול נרשמו תוך שעתיים מפרסום מחקר טכני, ובחלק מההתקנות זה מוביל עד הרשאות מנהל.
TL;DR בקצרה
- ב-5 באוקטובר פרסמה Atlassian את CVE-2026-21589, בציון 9.3, בשמונה מוצרי Data Center.
- תוקף בלי סיסמה יכול לקרוא קבצים בתיקיית האפליקציה, אם הוא יודע את הנתיב המדויק.
- ניסיונות ניצול נרשמו תוך שעתיים מפרסום הניתוח של watchTowr ב-6 באוקטובר.
- מוצרי הענן כבר תוקנו. בהתקנות מקומיות יש לעדכן, או לנתק מהאינטרנט עד העדכון.
Atlassian פרסמה ב-5 באוקטובר אזהרה על חולשה קריטית. החולשה, CVE-2026-21589, פוגעת בשמונה ממוצרי Atlassian Data Center, ובהם Jira, Confluence ו-Bitbucket. אלה הגרסאות שארגונים מתקינים על השרתים שלהם. החולשה מאפשרת לתוקף שאין לו שום סיסמה לקרוא קבצים מהשרת. יום אחר כך פרסמה חברת המחקר watchTowr ניתוח טכני מפורט. לפי חברת Previdian, תוך שעתיים כבר זיהתה החברה ניסיונות ניצול.
מה החולשה ב-Atlassian Data Center מאפשרת, ולמה ״רק קריאת קבצים״ זה מספיק
זו חולשת path traversal, כלומר אפשרות לצאת מהתיקייה שבה האפליקציה אמורה לעבוד. לפי watchTowr, ספריית רכיבים משותפת במוצרים המירה את הרצף :: לתו /. כך אפשר היה ״לטפס״ בעץ התיקיות דרך נקודות קצה של תוספים. Atlassian מדגישה שתי מגבלות. התוקף חייב לדעת את השם והנתיב המדויקים של הקובץ. הוא גם לא יכול לראות רשימת קבצים. הציון 9.3 מתוך 10 משקף את העובדה שבחלק מההתקנות יש קבצים רגישים במקומות צפויים.
watchTowr הדגימה את הסיכון. Crowd היא מערכת ניהול המשתמשים של Atlassian. בהתקנות של Jira שמחוברות אליה, אפשר היה לקרוא את הקובץ crowd.properties. הקובץ הזה מכיל פרטי גישה של האפליקציה בטקסט גלוי.
עם פרטי הגישה אפשר היה להשתמש ב-API של Crowd, כדי ליצור משתמש חדש. אחר כך אפשר היה לצרף אותו לקבוצת המנהלים של Jira. קריאת הקובץ מובילה לשליטה מלאה במערכת. היא מחזיקה את כל המשימות, הלקוחות והתיעוד של הארגון.
הניצול התחיל מהר
לפי Ryan Dewhurst, מייסד Previdian, רשת מלכודות הדבש של החברה זיהתה ניסיונות ניצול. הניסיונות הגיעו בתוך שעתיים מפרסום המחקר. Security Affairs דיווח על 15 ניסיונות משלוש כתובות IP ביפן ובארה״ב. Dewhurst אמר ל-BleepingComputer שתבנית סריקה פומבית לכלי Nuclei הופכת את הסריקה ל״קלה משמעותית״. הוא צפה שהניצול יגבר. watchTowr פרסמה כלי חינמי שבודק אם שרת פגיע.
לקוחות ענן לא צריכים לעשות דבר. לפי Atlassian, החברה כבר הטמיעה תיקון במוצרי הענן. היא לא איתרה בהם ראיות לניצול.
לגבי התקנות Data Center, החברה מסבירה שאין לה דרך לדעת אם מופע מסוים הושפע. היא מבקשת מהלקוחות לבדוק בעצמם. Atlassian גם לא משחררת עוד טלאים בנפרד. לכן התיקון מחייב מעבר לגרסת תחזוקה חדשה. בארגונים גדולים התהליך הזה לוקח זמן.
| מוצר | גרסאות מתוקנות |
|---|---|
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible, Fisheye | 4.9.15 |
מה זה אומר עבורכם
- עדכנו לגרסה מתוקנת: כל גרסה שלפני הגרסאות בטבלה פגיעה. Atlassian ממליצה לעבור לגרסת LTS המתוקנת או לגרסה חדשה מזו.
- לא יכולים לעדכן מיד? נתקו את השרת מהאינטרנט או הגבילו אליו גישה חיצונית. אחר כך הפעילו הגנה זמנית. הגנה כזו יכולה להיות כלל WAF או proxy. ב-Jira, Confluence, JSM, Bamboo ו-Crowd אפשר להגדיר כלל RewriteValve ב-Tomcat. ב-Bitbucket אפשר להגדיר כלל ב-urlrewrite.xml. גבו את השרת לפני כן. Atlassian מדגישה שאלה פתרונות מוגבלים, לא תחליף לעדכון.
- חפשו בלוגים: פענחו את כתובות הבקשות ביומני הגישה וחפשו
..לצד/,\או::. החברה לא יכולה לעשות את זה בשבילכם. - יש לכם חיבור ל-Crowd? החליפו סודות: אם השרת היה חשוף לאינטרנט, הניחו שתוקפים קראו קובצי תצורה. החליפו סיסמאות אפליקציה ומפתחות שמופיעים בהם, ובדקו אם נוספו משתמשים לקבוצות מנהלים.
- חסמו את הכתובות הידועות. Previdian ממליצה לחסום את שלוש כתובות ה-IP שמהן הגיעו הניסיונות הראשונים. BleepingComputer פרסם את הכתובות האלה.
מה הלאה לשרתי Atlassian Data Center
עם קוד הדגמה פומבי ותבנית סריקה אוטומטית, כל שרת שלא עודכן הוא מטרה קלה. זה נכון גם לשרת שנשכח בפינה. למשל, שרת Jira ישן לבדיקות עלול להישאר בחיבור לאינטרנט. אותו דבר נכון למופע Confluence של פרויקט שהסתיים, ואיש לא זוכר לעדכן אותם.
ארגונים שמפעילים כמה מופעים צריכים לוודא שכולם ברשימה. המופעים האלה יכולים לשמש לבדיקות, לפיתוח או ללקוחות. לא מספיק לטפל בשרת הראשי. מי שמצא סימנים לבקשות חשודות ביומנים צריך להתייחס לזה כאירוע אבטחה. Atlassian עצמה ממליצה לערב את צוות האבטחה.
מקורות והרחבה
- CVE-2026-21589: Arbitrary File Access Vulnerability Impacts Multiple ProductsAtlassian
- Hackers exploit critical Atlassian flaw after public PoC releaseBleepingComputer
- Atlassian Vulnerability Comes Under Attack Hours After Details Go PublicSecurity Affairs
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
