상세한 기술 보고서와 공개 개념 증명 도구가 공개된 지 몇 시간 만에 공격자들이 Atlassian 제품의 심각한 취약점을 악용하기 시작했다. CVE-2026-21589라는 식별자가 부여된 이 취약점은 인증을 요구하지 않으며 Jira, Confluence, Bitbucket 및 기타 제품의 자체 호스팅 Data Center 인스턴스에 영향을 미친다.
이 취약점으로 무엇을 할 수 있는가?
이 문제를 악용하면 공격자가 파일 이름과 경로를 정확히 알고 있는 경우 애플리케이션의 웹 루트 내부에 있는 특정 파일에 접근할 수 있다. 이 결함은 웹 리소스 처리를 위한 공유 라이브러리와 관련이 있다. 해당 라이브러리는 :: 문자열을 슬래시로 변환하므로, 플러그인 리소스 엔드포인트를 통해 경로 탐색이 포함된 요청을 구성하고 로그인하지 않고도 보호된 파일을 읽을 수 있다.
watchTowr 연구원들은 Jira, Confluence, Bitbucket에서 파일을 성공적으로 읽을 수 있음을 확인했지만, 이들의 방식으로는 Tomcat 애플리케이션 범위를 벗어나 외부 파일에 접근할 수 없었다.
영향받는 제품
- Bitbucket Data Center
- Confluence Data Center
- Jira Service Management Data Center
- Jira Software Data Center
- Bamboo Data Center
- Crowd Data Center
- Crucible
- Fisheye
Crowd에 연결된 환경의 추가 위험
Atlassian Crowd와 통합된 일부 Jira 배포 환경에서는 읽은 파일을 이용해 WEB-INF/classes/crowd.properties 파일에 있는 평문 자격 증명에 접근할 수 있다. Crowd가 네트워크에서 접근 가능하고 애플리케이션에 필요한 권한이 있다면, 이 자격 증명을 통해 Crowd API를 거쳐 Jira에 관리자 계정을 생성한 뒤 ID 관리 시스템에서 사용자를 생성하고 권한을 변경할 수 있다.
Crowd에 접근할 수 있는 IP 주소를 제한하면 악용이 더 어려워진다. 공격자는 다른 장비를 경유하거나 SSRF 요청과 유사한 기능을 사용해 Crowd에 직접 접근해야 할 수 있기 때문이다. 이러한 조건 때문에 취약점의 영향은 배포 구조와 권한에 따라 달라지지만, 보안이 적용되지 않은 환경에서는 단순한 파일 읽기를 넘어설 수 있다.
이 소식이 중요한 이유
Previdian은 watchTowr의 연구와 개념 증명 도구가 공개된 지 2시간 이내에 자사의 허니팟 네트워크에서 악용 시도를 탐지했다. 또한 Nuclei 템플릿이 공개되면서 취약한 시스템을 자동으로 검사하기가 쉬워졌다. 관측된 시도에는 38.60.157[.]86, 146.70.187[.]234, 159.26.119[.]225 IP 주소가 포함됐으며, 회사는 이 주소들을 차단할 것을 권고한다.
시간 순서를 보면 실행 가능한 세부 정보가 공개되면서 이 취약점은 빠르게 알려진 문제에서 자동화된 검사와 악용의 대상으로 바뀌었다. Atlassian의 여러 제품이 영향을 받으면서 위험 범위도 확대됐다. Previdian은 앞으로 며칠과 몇 주 동안 활동이 증가할 것으로 예상한다.
관리자는 무엇을 해야 하는가?
Atlassian은 가능한 한 빨리 제공된 보안 업데이트를 적용할 것을 권고하면서도 고객의 인스턴스가 침해됐는지 여부를 확인할 수 없다고 경고했다. 완화 조치로는 외부 접근 제한, 웹 애플리케이션 방화벽 또는 프록시 규칙을 이용한 특정 경로 탐색 패턴 차단, 그리고 Confluence, Jira Service Management, Jira, Bamboo, Crowd 제품에 대한 Tomcat RewriteValve 규칙 적용이나 Bitbucket의 URL 재작성 규칙 사용 등이 있다.
watchTowr은 관리자들이 자신의 인스턴스가 취약점에 노출됐는지 확인할 수 있도록 무료 검사 도구도 공개했다. 특히 Crowd를 사용하는 환경에서는 검사 결과와 계정 및 권한 감사가 중요하다. 원본은 특정 시나리오에서 관리 권한에 접근할 수 있음을 입증했을 뿐, 모든 배포 환경에서 그러한 접근이 가능하다는 것을 의미하지는 않기 때문이다.