Atlassian Data Center Flaw Draws Exploitation Attempts Within Two Hours of Public Details
The Hacker News · 7 oct, 13:49
Qué hacer: Actualiza a las versiones patched disponibles para cada producto: Bitbucket 9.4.26/10.2.8/10.5.1, Confluence 9.2.26/10.2.19, Jira Service Management 5.12.40/10.3.26/11.3.12, Jira Software 9.12.40/10.3.26/11.3.12, Bamboo 10.2.24/12.1.12, Crowd 6.3.7/7.0.3/7.1.7/7.2.4, Crucible/Fisheye 4.9.15, o aplica las mitigaciones temporales (WAF, RewriteValve).
Se ha detectado explotación activa de un fallo crítico en productos Atlassian Data Center (CVE-2026-21589, CVSS 9.3) apenas dos horas después de que se publicaran detalles técnicos. La vulnerabilidad permite a atacantes no autenticados acceder a archivos arbitrarios dentro del directorio raíz de la aplicación, incluyendo credenciales y tokens de autenticación.
El fallo afecta a Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible y Fisheye. La vulnerabilidad radica en el manejo de recursos web de Atlassian, que convierte cadenas como "..::..::..::..::WEB-INF::web.xml" a "../../../../WEB-INF/web.xml", permitiendo atravesar directorios. Los atacantes sin autenticar que conocen la lógica de resolución de recursos pueden abusar de esta conversión, combinándola con el plugin jQuery colorpicker mediante la barra diagonal final para acceder a archivos fuera del alcance previsto. En Crowd y Jira, la explotación permite acceder a "WEB-INF/classes/crowd.properties", obteniendo credenciales para acceso administrativo, creación de usuarios maliciosos y escalada de privilegios.
Antillassian proporciona parches para múltiples versiones de cada producto afectado. Como mitigación temporal, recomienda desconectar la instancia de Internet, implementar reglas WAF, bloquear solicitudes mediante RewriteValve de Tomcat y añadir reglas personalizadas. Previdian ha detectado 15 intentos de explotación desde tres direcciones IP únicas en Japón y EE. UU., iniciados dos horas después de que watchTowr publicara detalles técnicos. La expectativa es que la actividad aumente rápidamente con la publicación de templates Nuclei.
Puntos clave
- Afecta a 8 productos Atlassian Data Center; versiones patched disponibles para cada uno
- Explotación activa detectada desde dos direcciones IP (tres únicas) en Japón y EE. UU.
- Requiere conocimiento previo del nombre y ruta exacta del archivo; no permite enumeración de directorios
- Acceso a credenciales de Crowd permite escalada a privilegios administrativos en Jira
- Como mitigación temporal: desconectar de Internet, implementar WAF, bloquear con RewriteValve