Hackers exploit critical Atlassian flaw after public PoC release
Mis à jour :
Exploitation active de la faille critique dans les produits Atlassian
Une vulnérabilité critique affectant de nombreux produits Atlassian auto-hébergés est actuellement exploitée par des attaquants, quelques heures seulement après la publication d’une preuve de concept (PoC) technique. Cette faille permet à un attaquant non authentifié d’accéder à des fichiers sensibles sur le serveur.
Points clés :
- Vulnérabilité : Accès arbitraire aux fichiers locaux via un contournement de répertoire (directory traversal).
- Cause : Une bibliothèque de ressources web partagée convertit incorrectement les doubles deux-points (
::) en barres obliques (/), permettant de manipuler les chemins d’accès aux fichiers. - Risque d’escalade : Dans les déploiements utilisant Atlassian Crowd pour la gestion des identités, l’accès au fichier
crowd.propertiespermet de lire des identifiants en clair et de créer un compte administrateur, compromettant ainsi l’ensemble de l’instance. - Propagation : Des outils d’automatisation (templates Nuclei) sont déjà disponibles, facilitant le scan massif des serveurs vulnérables.
Vulnérabilité :
- CVE-2026-21589 : Faille d’accès arbitraire aux fichiers.
Produits impactés :
- Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible et Fisheye (versions Data Center).
Recommandations :
- Mise à jour : Appliquer immédiatement les correctifs fournis par Atlassian via leur bulletin de sécurité officiel.
- Atténuation temporaire :
- Restreindre l’accès réseau externe aux instances.
- Configurer un pare-feu applicatif (WAF) ou des règles de réécriture d’URL (Tomcat RewriteValve) pour bloquer les requêtes contenant des séquences de traversée de répertoire.
- Audit : Utiliser l’outil de scan gratuit publié par watchTowr pour vérifier l’exposition des instances.
- Surveillance : Surveiller les logs pour détecter des tentatives d’exploitation provenant d’adresses IP suspectes.