CISA bestätigt aktive Ausnutzung von Jira- und Confluence-Lücke

Die CISA, die Cybersecurity-Agentur der US-Regierung, hat am Donnerstag, den 15. Oktober, die Schwachstelle CVE-2026-21589 in ihr Katalog aktiver Ausnutzungen aufgenommen. Der Fehler betrifft die Data Center-Versionen der Produkte von Atlassian, darunter Jira, Confluence und Bitbucket, und ermöglicht es einem Angreifer ohne Login, Dateien vom Server zu lesen. Laut der Mitteilung der Agentur basiert die Aufnahme auf Beweisen der aktiven Ausnutzung.

Atlassian hat die Schwachstelle am 5. Oktober mit einer Bewertung von 9,3 auf der CVSS 4.0-Skala offengelegt. Die Schwachstelle betrifft acht selbstverwaltete Produkte: Jira, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible und Fisheye. Atlassian Cloud ist nicht betroffen.

Von Datei lesen zu Administrator

Dateien zu lesen scheint weniger schwerwiegend als Code auszuführen, und genau deshalb verdient der Fall Aufmerksamkeit. watchTowr, ein Unternehmen für offensive Forschung, das einen funktionsfähigen Proof of Concept veröffentlicht hat, zeigte den Weg auf. Instanzen von Jira, die mit Crowd, dem Identitätsverzeichnis von Atlassian, verbunden sind, speichern im crowd.properties-Dokument den Anwendungsnamen, das im Klartext gespeicherte Passwort und die Adresse des Crowd-Servers. Mit diesen Daten erstellten die Forscher einen neuen Benutzer im Crowd, fügten ihn der Administratorgruppe von Jira hinzu und erlangten die administrative Kontrolle über die Instanz.

Previdian, das Sensoren vom Typ Honeypot betreibt, gab an, am 6. Oktober, einen Tag nach der Warnung von Atlassian, bereits Ausnutzungsversuche registriert zu haben. Von da an folgte die übliche Abfolge: öffentlicher Code, automatisierte Scanning-Modelle und feindlicher Datenverkehr in großem Maßstab. Der Eintrag im CISA-Katalog formalisiert das, was diese Sensoren bereits zeigten, und zwingt die amerikanischen Bundesbehörden, die Systeme innerhalb des von der Agentur festgelegten Zeitrahmens zu patchen.

Die korrigierten Versionen

Die Tabellen, die mit der Warnung von Atlassian veröffentlicht wurden, geben unter anderem folgende Versionen an: Jira Software 9.12.40, 10.3.26 und 11.3.12; Jira Service Management 5.12.40, 10.3.26 und 11.3.12; Confluence 9.2.26 und 10.2.19; Bitbucket 9.4.26, 10.2.8 und 10.5.1; Crowd 6.3.7, 7.0.3, 7.1.7 und 7.2.4. Für Bamboo, Crucible und Fisheye bezieht sich die Referenz auf das eigene Bulletin des Herstellers.

Die tatsächliche Exposition hängt von der Architektur ab. Laut watchTowr wird das Szenario einer Eskalation viel schwieriger, wenn Crowd nur Verbindungen von einer genehmigten IP-Liste akzeptiert, selbst wenn die Datei gelesen wurde. Instanzen, die Jira ohne Filterungen im Internet exponieren, sind das offensichtliche Ziel für Scans.

Atlassian bietet vorübergehende Abhilfemaßnahmen an, beschreibt diese jedoch als begrenzt und nicht als Ersatz für die Aktualisierung. Für Benutzer von Crowd empfehlen die Forscher zweifache Maßnahmen: Die seitlich im crowd.properties gespeicherten Anwendungs-Passwörter zu ändern und den Zugang zu Crowd auf eine Liste autorisierter IP-Adressen zu beschränken. Ohne Passwortwechsel bleibt das Tor offen für diejenigen, die die Datei vor dem Patch bereits gelesen haben.

Wo das Risiko konzentriert ist

Die exponierte Öffentlichkeit sind genau die, die sich entschieden haben, nicht in die Cloud zu gehen. Unternehmen und Regierungen, die Jira und Confluence auf hauseigenen Servern betreiben, tun dies im Allgemeinen aus Gründen der Datensouveränität oder regulatorischen Anforderungen, und es sind diese Umgebungen, die die Historie von Projekten, Integrationsanmeldedaten und technische Dokumentation intern tragen.

In den USA kommt der Druck von der bundesstaatlichen Frist und den Regierungsaufträgen, die oft die Anforderungen der CISA vertraglich übernehmen. In Australien, dem Sitz von Atlassian, reagieren öffentliche Stellen und Betreiber kritischer Infrastrukturen auf das Australian Cyber Security Centre, und die Nähe zum Hersteller verringert nicht die Exposition: Die Data Center-Versionen sind sowohl in Sydney als auch in Washington gleich. In Deutschland und dem Rest der Europäischen Union verpflichtet die NIS2-Richtlinie wesentliche Betreiber zur Verwaltung bekannter Schwachstellen, und eine als von der CISA ausgenutzt gelistete Schwachstelle gilt als Beweis dafür, dass das Risiko bekannt war.

In Brasilien sind die direktesten Kanäle die Beratungsfirmen und Softwarefabriken, die Data Center-Instanzen zum Hosting von Kundenprojekten betreiben. In diesen Umgebungen konzentriert ein einzelnes Jira Repositories und Anmeldedaten mehrerer Auftraggeber, und ein erfolgreicher Eindringling überquert die Grenze zwischen Anbieter und Kunde. Dasselbe gilt für Lieferzentren in Indien und Osteuropa, die Entwicklungswerkzeuge für Banken und Versicherungen anderer Länder betreiben.

Für den CISO ist die nützlichste Information der Zeitrahmen: Zehn Tage trennen die Warnung des Herstellers von der Formalisierung durch die amerikanische Agentur, und diejenigen, die auf den offiziellen Stempel gewartet haben, um das Patch zu priorisieren, waren während dieses gesamten Zeitraums einem Angriff mit bereits öffentlichem Code ausgesetzt.