ENRU
Попробовать
← Все новости

Atlassian: дыра в Jira и Confluence дала читать чужие файлы

Эмили ПаркерЭмили ПаркерКонтент-маркетолог
Atlassian: дыра в Jira и Confluence дала читать чужие файлы

Коротко: 5 октября 2026 года Atlassian раскрыла критическую уязвимость CVE-2026-21589 (CVSS 9,3) сразу в восьми самостоятельно развёрнутых продуктах — Jira, Confluence, Bitbucket, Jira Service Management, Bamboo, Crowd, Crucible и Fisheye. Она позволяет атакующему без логина и пароля прочитать отдельные файлы на сервере, включая конфигурационные файлы с учётными данными. Через два часа после публикации технического разбора и рабочего PoC-кода исследователями watchTowr хакеры уже начали массово сканировать интернет в поисках уязвимых серверов. Патчи вышли одновременно с раскрытием — если ваша компания использует self-hosted Atlassian, обновление не терпит отлагательств.

Что случилось

Проблема живёт в библиотеке atlassian-plugins-webresource, общей для всех восьми продуктов. Из-за ошибки в роутинге функция, которая должна была просто конвертировать двойные двоеточия (::) в слэши, позволяла протащить через защиту от directory traversal путь к произвольному файлу внутри корневого каталога веб-приложения. Атакующему не нужна учётная запись — только точное имя и путь нужного файла (перебирать содержимое каталогов уязвимость не позволяет).

Опаснее всего сценарий с Atlassian Crowd: если компания использует его для единой аутентификации, через уязвимость можно прочитать файл WEB-INF/classes/crowd.properties, где учётные данные интеграции хранятся открытым текстом. Получив их, злоумышленник может добраться до прав администратора в Jira.

Кто под ударом

Под угрозой — все версии восьми Data Center продуктов Atlassian до вышедших патчей: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible и Fisheye. Облачная версия Atlassian (Cloud) уязвимости не подвержена — патчить там нечего, Atlassian закрыла брешь на своей стороне заранее. Если ваша организация держит self-managed установку любого из этих продуктов — это прямой риск: Jira и Confluence часто хранят персональные данные сотрудников, переписку, токены доступа к другим системам и документы с коммерческой тайной.

Насколько быстро этим воспользовались

5 октября Atlassian опубликовала бюллетень безопасности и выпустила исправленные версии. 6 октября исследователи watchTowr разобрали механику атаки и выложили технический разбор с рабочим PoC. Уже через два часа после публикации на honeypot-сети зафиксировали первые попытки эксплуатации; к 7 октября компания CrowdSec насчитала 89 уникальных IP-адресов, рассылающих запросы по этой схеме. Такая скорость — типичный сценарий для критических уязвимостей с публичным PoC: у администраторов остаются буквально часы, а не дни, чтобы закрыть дыру до начала массового сканирования.

Что делать, если вы администрируете такую систему

  • Обновить Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible или Fisheye Data Center до исправленной версии — список конкретных номеров версий есть в бюллетене Atlassian.
  • Если обновить сразу нельзя — применить временные меры: Atlassian публикует правило для Apache Tomcat RewriteValve (для Confluence, Jira, Bamboo, Crowd) и отдельное правило urlrewrite.xml для Bitbucket. Это временная защита, а не замена патчу.
  • Проверить логи веб-сервера на характерные запросы с двойным двоеточием в пути — индикатор попытки эксплуатации.
  • Если используется Crowd для SSO — считать интеграционные учётные данные потенциально скомпрометированными и ротировать их после обновления.

Если у вас есть личный кабинет в корпоративной Jira или Confluence — например, тикеты с персональными данными, HR-переписка или доступ через единый вход, — после сообщения от ИТ-отдела об обновлении систем стоит сменить пароль и проверить активные сессии. О том, как в целом защищать рабочие аккаунты от подобных рисков, — в материале о защите аккаунта от взлома.

Почему это не только проблема ИТ-отдела

Уязвимости такого рода бьют не по абстрактной «инфраструктуре», а по конкретным людям: в тикетах Jira и страницах Confluence годами накапливаются данные сотрудников, клиентов, партнёров — от адресов до внутренней переписки о зарплатах. Когда взломана не ваша личная учётка, а корпоративная система, в которой вы просто работаете, единственное, что остаётся под вашим контролем, — минимизировать последствия: не переиспользовать пароли между сервисами и шифровать собственный трафик в сетях, которым вы не доверяете. Подробнее о базовой гигиене паролей — в материале о менеджерах паролей.

Эта конкретная уязвимость работает на уровне сервера компании, и VPN её не закроет — здесь обязательно обновление самих систем Atlassian. Но для защиты собственного трафика при работе из кафе, аэропорта или отеля шифрованный канал остаётся отдельным полезным слоем: LiMP VPN скрывает от владельца сети, какие сервисы вы используете, на тарифах от 69 ₽/месяц — подробности на странице цен.

Источники

← Все новости