自建Jira高危漏洞在野利用

安世加

2026年10月8日 18:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

新闻

News Today

10月5日，Atlassian 发布了一份覆盖面罕见的安全公告：CVE-2026-21589，评分9.3，一次横跨八款自托管产品——Jira、Jira Service Management、Confluence、Bitbucket、Bamboo、Crowd，加上代码评审用的 Crucible 和 Fisheye，全家的 Data Center 版本都在受影响名单里。所有已发布版本通通中招，包括已经停止维护的老版本。这个漏洞不需要登录、不需要任何交互，一个构造好的请求就能读走服务器上的指定文件。

10月6日，攻防研究团队 watchTowr 放出完整技术分析和可用的 PoC。接下来的事，说明了现在攻击者的反应速度：PoC 公开不到两小时，威胁情报公司 Previdian 的蜜罐网络就抓到了真实攻击流量。随后利用该漏洞的 Nuclei 扫描模板也被公开——从公告发布到自动化工具能扫全网，整个过程不到两天。

漏洞本身出在八款产品共用的一款 web 资源库里。watchTowr 对比补丁前后的代码发现，路由逻辑有个怪癖：会把用户请求里的双冒号（::）转成正斜杠（/）。攻击者构造形如 ..::..::..::::file.txt 的路径，就能借插件资源端点把穿越载荷\"洗\"过原本的防穿越检查，读到应用根目录内的文件。

Atlassian 提醒说，攻击者必须预先知道文件的确切名字和路径，漏洞不能列目录。这话听着像限制，其实不是。WEB-INF/web.xml、crowd.properties 这类文件的路径，在官方文档和历年漏洞分析里躺了多少年，搜一下就有。知道路径的人，比想象中多得多。

watchTowr 顺手摸了下暴露面：仅 Confluence 一个产品，互联网上在线实例就接近 70 万个。

真正让这事从\"文件读取\"升级成\"管理员接管\"的，是 Crowd。很多企业拿 Crowd 做统一身份和 SSO 中枢，而集成 Crowd 的 Jira 会把应用名和明文的应用密码存在 WEB-INF/classes/crowd.properties 里——这个文件恰好就在可读范围内。watchTowr 演示了完整链路：读走凭证，直接调 Crowd 接口，列用户、建新账号、加进 jira-administrators 组，一行穿越请求换来一个 Jira 管理员。用 Crowd 做 SSO 的组织要格外当心，这是官方推荐的接法，也是受影响最大的用法；好在给 Crowd 配上 IP 白名单，这条链路会难走很多。

现在该做的事很清楚。用 Atlassian 云版的不用动，官方已经修好。自建的赶紧把补丁安排上：Jira Data Center 升到 9.12.40、10.3.26 或 11.3.12，Confluence Data Center 升到 9.2.26 或 10.2.19，Bitbucket Data Center 升到 9.4.26、10.2.8 或 10.5.1，Crowd Data Center 升到 6.3.7、7.0.3、7.1.7 或 7.2.4，Bamboo、Crucible、Fisheye 也都有对应修复版。暂时打不上的，先把实例从公网摘下来，或按官方给的 WAF、RewriteValve 规则把穿越特征拦掉——这只是缓兵之计。另外翻一遍访问日志，Previdian 已公布三个攻击来源 IP（38.60.157[.]86、146.70.187[.]234、159.26.119[.]225），watchTowr 也放了免费检测脚本，跑一遍心里有数。补丁前后的日志都得查——被读走凭证和被打穿之间，可能只隔着一个还没轮换的密码。

这个漏洞单看技术含量不算惊艳，一个路径穿越加一个明文密码文件，但它把今年讲过很多遍的事又讲了一遍：低危组件的组合拳，打出来是高危的效果，而且从 PoC 公开到蜜罐见流量只有两小时。留给防守方的窗口越来越短，\"下周排个补丁窗口\"这种排法，真要改改了。

来源：Atlassian 安全公告

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

安世加为出海企业提供SOC 2、ISO 27001、PCI DSS、TrustE认证咨询服务（点击图片可详细查看）