Atlassian Data Center Produkte: Nicht authentifiziertes Lesen beliebiger Dateien

Zusammenfassung

Mehrere selbst gehostete Atlassian Data Center Produkte enthalten eine Schwachstelle beim Zugriff auf beliebige Dateien (CVE-2026-21589). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann bestimmte Dateien im Basisverzeichnis der Webanwendung lesen, sofern ihm der genaue Dateiname und Pfad bekannt ist; ein Auflisten von Verzeichnissen ist nicht möglich. In einigen Konfigurationen mit sensiblen Dateien kann die Auswirkung gravierend sein. CISA führt die Schwachstelle als aktiv ausgenutzt.

Betroffen

• Bitbucket Data Center: alle Versionen vor 9.4.26, 10.2.8 und 10.5.1 (korrigierte Versionen je Zweig)
• Confluence Data Center: alle Versionen vor 9.2.26 und 10.2.19
• Jira Software Data Center: alle Versionen vor 9.12.40, 10.3.26 und 11.3.12
• Jira Service Management Data Center: alle Versionen vor 5.12.40, 10.3.26 und 11.3.12
• Bamboo Data Center: alle Versionen vor 10.2.24 und 12.1.12
• Crowd Data Center: alle Versionen vor 6.3.7, 7.0.3, 7.1.7 und 7.2.4
• Crucible und Fisheye: alle Versionen vor 4.9.15
• Atlassian Cloud-Instanzen sind nicht betroffen.

Behoben in

• Bitbucket Data Center: 9.4.26, 10.2.8, 10.5.1
• Confluence Data Center: 9.2.26, 10.2.19
• Jira Software Data Center: 9.12.40, 10.3.26, 11.3.12
• Jira Service Management Data Center: 5.12.40, 10.3.26, 11.3.12
• Bamboo Data Center: 10.2.24, 12.1.12
• Crowd Data Center: 6.3.7, 7.0.3, 7.1.7, 7.2.4
• Crucible und Fisheye: 4.9.15

Umgehung

• Den externen Zugriff auf betroffene Instanzen bis zur Aktualisierung unterbinden, wie von Atlassian empfohlen.
• Die von Atlassian veröffentlichte Regel einer Web Application Firewall anwenden, um Traversal-Muster zu blockieren, oder die in den Atlassian-Tickets beschriebene RewriteValve- bzw. urlrewrite.xml-Massnahme umsetzen.
• Diese Massnahmen sind nur temporär und ersetzen das Patchen nicht.

Ausnutzung

• Aktiv ausgenutzt: ja. CISA hat die Schwachstelle am 15. Oktober 2026 in den Katalog der bekanntermassen ausgenutzten Schwachstellen (KEV) aufgenommen.
• Öffentlicher Proof-of-Concept-Code: Die Berichte widersprechen sich, ob ein funktionierender Exploit veröffentlicht wurde; davon auszugehen ist, dass einer verfügbar ist.
• Eskalation: In bestimmten, mit Crowd integrierten Installationen zeigten Forscher, dass das Lesen von Dateien zu Administratorzugriff führen kann. Offengelegte Zugangsdaten oder Konfigurationsdateien sind als kompromittiert zu betrachten.

Unsere Empfehlung

• Alle betroffenen Data Center Produkte umgehend auf die korrigierten Versionen aktualisieren.
• Bis zur Aktualisierung den externen Zugriff auf betroffene Instanzen einschränken.
• Webzugriffsprotokolle auf Traversal-artige Anfragen prüfen und auf neue oder unerwartete Administratorkonten kontrollieren.
• Falls eine Kompromittierung möglich ist, in Konfigurationsdateien hinterlegte Zugangsdaten rotieren, insbesondere Crowd- und Anwendungszugangsdaten.
• Cloud-Kunden müssen nichts unternehmen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (13 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  watchtowrlabs/watchTowr-vs-Atlassian-CVE-2026-21589 · MarcusProgram/CVE-2026-21589 · tc4dy/CVE-2026-21589-PoC-Exploit · aduli198/CVE-2026-21589 · BimBoxH4/CVE-2026-21589

Quellen der Recherche

• Atlassian advisory ticket Bamboo (BAM-26567) jira.atlassian.com
• Atlassian advisory ticket Bitbucket (BSERV-20604) jira.atlassian.com
• Atlassian advisory ticket Confluence (CONFSERVER-104488) jira.atlassian.com
• Atlassian advisory ticket Crowd (CWD-6610) jira.atlassian.com
• CISA KEV alert www.cisa.gov
• watchTowr technical analysis watchtowr.com
• Rapid7 emerging threat report www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:30.