Atlassianov propust iskorišten u nekoliko sati

Napadači su počeli iskorištavati kritičnu ranjivost u osam Atlassianovih proizvoda u izdanju Data Center samo nekoliko sati nakon objave demonstracijskog koda. Propust CVE-2026-21589, ocijenjen s 9,3, omogućuje neprijavljenom napadaču dohvat određenih datoteka iz korijena web-aplikacije ako zna njihov točan naziv i putanju. Pogođeni su Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible i Fisheye.

Atlassian je upozorenje i zakrpe objavio 5. listopada, a napadi su zabilježeni nakon što su tehnički detalji postali javni. Ranjivost ne omogućuje popisivanje direktorija, ali u pojedinim konfiguracijama dostupne datoteke mogu sadržavati osjetljive podatke, postavke ili vjerodajnice. To je dovoljno da napadač pripremi sljedeći korak i pokuša preuzeti širi pristup sustavu.

Opasnost je veća jer isti obrazac pogađa više proizvoda koji često stoje u središtu razvojnog i poslovnog okruženja. Jira sadrži zadatke, ranjivosti i planove izdanja, Confluence internu dokumentaciju, Bitbucket izvorni kod, a Bamboo podatke o izgradnji i isporuci softvera. Jedna pročitana datoteka zato može otkriti tok razvoja, interne adrese ili tajnu potrebnu za pristup drugom sustavu.

Proizvođač preporučuje trenutačnu nadogradnju na popravljene verzije. Za organizacije koje ne mogu odmah instalirati zakrpu ponuđena su privremena pravila za vatrozide web-aplikacija i ograničavanje vanjskog pristupa. Privremena zaštita ne zamjenjuje nadogradnju, a pravilo treba testirati kako ne bi blokiralo legitimne zahtjeve ili propustilo kodirane varijante iste putanje.

Usluge u Atlassianovu oblaku već su zakrpane i njihovi korisnici ne trebaju poduzimati dodatnu radnju. Problem se odnosi na lokalne instalacije izdanja Data Center, gdje kupac upravlja verzijom, mrežnim pristupom i zapisima. Upravo su te instalacije često odabrane zbog kontrole podataka ili integracija, ali ista kontrola znači da odgovornost za brzinu zakrpe ostaje na organizaciji.

Administrator prije nadogradnje treba napraviti popis svih pogođenih instanci, uključujući testne, rezervne i zaboravljene sustave. Javno dostupan stari Confluence ili razvojni Bitbucket jednako je vrijedan napadaču kao glavni poslužitelj. Inventar mora obuhvatiti verziju, vlasnika, izloženost internetu i povezana prava, a ne samo sustave koje svakodnevno koristi velik broj zaposlenika.

Nakon zakrpe nije dovoljno označiti incident završenim. Budući da je iskorištavanje već zabilježeno, timovi trebaju pregledati zapise HTTP zahtjeva, neuobičajene putanje, pokušaje čitanja datoteka i kasnije prijave s novih adresa. Ako je mogla biti otkrivena konfiguracijska tajna, vjerodajnicu treba promijeniti, a njezinu uporabu provjeriti u drugim sustavima.

Brzina od demonstracijskog koda do napada potvrđuje da klasični mjesečni ciklus zakrpa nije dovoljan za kritične internetski dostupne aplikacije. Organizacija treba unaprijed definirati tko može odobriti hitnu nadogradnju, kako se provodi kratko testiranje i kada se sustav privremeno uklanja s interneta. Odluka se mora donijeti u satima, ne na sljedećem redovitom sastanku.

Atlassian je za svaki proizvod objavio popravljene verzije, uključujući više podržanih LTS grana. Sljedeći potvrđeni korak za korisnike jest instalirati odgovarajuću verziju, provjeriti sve izložene instance i pregledati zapise od trenutka kada su detalji postali javni. Tek kombinacija zakrpe, zamjene mogućih izloženih pristupnih podataka i potrage za tragovima iskorištavanja zatvara ovaj incident i potvrđuje opseg moguće izloženosti.

Prioritet treba odrediti prema izloženosti i vrijednosti podataka, ali nijednu pogođenu instancu ne treba ostaviti bez vlasnika i roka. Sustavi iza VPN-a također mogu biti dosegnuti s kompromitiranog računala, pa unutarnja adresa nije dovoljna zaštita. Sigurnosni tim treba evidentirati iznimku, ograničiti pristup i pratiti promet sve dok nadogradnja ne bude dovršena i potvrđena. Vodstvo treba primiti sažet popis zakrpanih, izoliranih i još izloženih instanci, jer se rizik ne može zatvoriti bez potvrde da je obuhvat potpun.