CVE-2021-26086

Falha de path traversal (CWE-22) no endpoint /WEB-INF/web.xml do Jira Server e Data Center, que permite a um atacante não autenticado ler arquivos específicos do servidor via requisição HTTP manipulada. O CVSS 5.3 reflete impacto limitado à confidencialidade (sem escrita, sem impacto em disponibilidade), mas o EPSS próximo de 1.0 e a presença no catálogo KEV da CISA (adicionada em novembro de 2024, mais de três anos após a publicação) confirmam exploração ativa e automatizada em massa.

A vulnerabilidade está no tratamento do caminho requisitado pelo endpoint /WEB-INF/web.xml do Jira. O componente que resolve esse recurso não normaliza corretamente sequências de travessia de diretório antes de acessar o sistema de arquivos, permitindo que um atacante manipule o caminho para escapar do diretório esperado e alcançar 'particular files' — conforme a redação do próprio fornecedor, que evita dizer 'arbitrary file read'. Isso é consistente com o vetor CVSS C:L (confidencialidade baixa, não alta): o acesso não é irrestrito a qualquer arquivo do sistema, e sim a um subconjunto de arquivos alcançáveis a partir da lógica de resolução do endpoint.

O advisory da Atlassian (JRASERVER-72695) relaciona essa falha a duas outras do mesmo lote: CVE-2020-29448 (Confluence) e CVE-2021-26085 (Jira, endpoint /s/), ambas descritas como 'Pre-Authorization Limited Arbitrary File Read'. Isso sugere um padrão comum de implementação nos produtos Atlassian da época — endpoints de serving de recursos estáticos/plugins que aceitam parâmetro de caminho sem sanitização adequada contra '../'.

O vetor de ataque é de rede, sem necessidade de autenticação (PR:N) e sem interação do usuário (UI:N), com complexidade de ataque baixa (AC:L) — uma única requisição HTTP bem formada é suficiente, sem necessidade de estado de sessão prévio ou condições de corrida.

A exploração ocorre via requisição HTTP não autenticada diretamente contra a instância Jira exposta, direcionada ao endpoint /WEB-INF/web.xml com um payload de travessia de diretório no parâmetro de caminho. Não há pré-condição de configuração não padrão, autenticação ou controle de campo específico por parte do usuário — a única exigência real é que a instância Jira vulnerável esteja acessível pela rede (internet ou rede interna) sem o workaround aplicado.

Existem template Nuclei e PoC pública (incluindo o registro no PacketStorm referenciando Jira Server/Data Center 8.4.0), o que torna a varredura e exploração em massa trivial para qualquer atacante com ferramentas automatizadas. A confirmação da CISA no catálogo KEV, com prazo de correção definido, indica exploração ativa observada em campo — embora não classificada como associada a campanhas de ransomware conhecidas.

O resultado prático da exploração é a leitura de arquivos específicos do servidor, não leitura arbitrária irrestrita — o CVSS C:L reforça essa limitação. Ainda assim, dependendo de quais arquivos são alcançáveis, isso pode expor configurações, credenciais ou informações que viabilizam escalada posterior de ataque, o que explica o EPSS elevado mesmo com CVSS moderado.

A correção definitiva é atualizar para as versões corrigidas: 8.5.14, 8.13.6, 8.16.1 ou 8.17.0, dependendo do ramo em uso. Instâncias em qualquer versão anterior a 8.5.14, entre 8.6.0 e 8.13.6 (exclusive), ou entre 8.14.0 e 8.16.1 (exclusive) estão vulneráveis.

Se a atualização não for viável no curto prazo, a Atlassian indica um workaround via configuração de proxy reverso ou load balancer (documentado no KB de workaround para CVE-2019-15004) — especificamente o 'Workaround 2' desse artigo. O próprio advisory da Atlassian alerta explicitamente que o 'Workaround 1' do mesmo artigo NÃO é válido para esta CVE, o que é um mito operacional relevante: aplicar a mitigação errada dá falsa sensação de proteção.

Dado que a falha está no catálogo KEV com prazo de correção vencido (03/12/2024) e exploração ativa confirmada, o controle compensatório de proxy/load balancer deve ser tratado como paliativo temporário, não como solução permanente — ele bloqueia o padrão de requisição conhecido, mas não corrige a causa raiz no código da aplicação.

Em logs de acesso do servidor web ou proxy reverso, procurar requisições direcionadas a /WEB-INF/web.xml contendo sequências de travessia de diretório (padrões como '../' codificados ou não, variações de encoding de URL) no parâmetro de caminho. A existência de template Nuclei público significa que muito do tráfego de exploração observado é oriundo de varredura automatizada em massa, com assinaturas previsíveis — vale correlacionar com IPs que também testam CVE-2021-26085 e CVE-2020-29448, dado o padrão semelhante entre essas três vulnerabilidades do mesmo período.

Respostas HTTP com código 200 e corpo contendo conteúdo de arquivo (em vez do esperado 403/404) para essas requisições são indicador forte de exploração bem-sucedida, não apenas tentativa.