Atacantes aprovechan un fallo crítico en Atlassian Data Center tras publicarse una prueba de concepto
Una al día (Hispasec) · 7 oct, 17:02
Qué hacer: Actualiza inmediatamente Atlassian Data Center a la versión parcheada indicada por Atlassian y busca evidencias de acceso a ficheros WEB-INF/classes/crowd.properties en los registros.
La vulnerabilidad crítica CVE-2026-21589 en productos Atlassian Data Center registra intentos de explotación activos pocas horas después de publicarse una prueba de concepto. El fallo permite leer ficheros sin autenticación (CVSS 9,3) y, en entornos con integración Crowd, facilita escalada hasta permisos de administrador. Afecta a Jira, Confluence, Bitbucket, Bamboo y otros productos Data Center ampliamente utilizados en organizaciones.
La vulnerabilidad exploita una librería compartida de recursos web que transforma secuencias de doble dos puntos en separadores de ruta, permitiendo solicitudes de path traversal contra endpoints que sirven recursos de plugins. Aunque el ataque requiere conocer la ruta exacta del fichero (no permite enumerar directorios), basta con dirigirse a rutas habituales para causar daño grave.
El escenario más crítico ocurre cuando Jira se integra con Crowd: un atacante que logre leer WEB-INF/classes/crowd.properties puede obtener credenciales en texto plano. Con esas credenciales, puede abusar de la API de Crowd para crear cuentas y alcanzar privilegios de administrador en Jira. Atlassian reconoce que no puede confirmar compromisos específicos de clientes, por lo que recomienda asumir exposición y buscar evidencias. Los productos de Atlassian Cloud ya están corregidos sin señales de explotación detectadas.
Puntos clave
- CVE-2026-21589 afecta a Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible y Fisheye Data Center
- Permite lectura arbitraria de ficheros sin autenticación (CVSS 9,3 crítico)
- Con integración Crowd, facilita escalada a permisos de administrador
- Plantilla de Nuclei disponible reduce la fricción para automatizar ataques
- Atlassian Cloud ya está corregido; no hay explotación confirmada en la nube