CVE-2021-26085

Falha de leitura arbitrária de arquivo pré-autenticação no Confluence Server e Data Center, explorável via requisições HTTP ao endpoint /s/ sem necessidade de credenciais. Está no catálogo KEV da CISA com exploração confirmada, mas o próprio CVSS (C:L, sem I nem A) indica que o impacto é limitado a confidencialidade parcial — não é RCE, é vazamento de recursos que deveriam estar restritos.

A vulnerabilidade é classificada como CWE-425 (Direct Request / 'Forced Browsing'). O endpoint /s/ no Confluence é usado para servir recursos estáticos (decoradores de tema, plugins web-resources) fora do fluxo normal de autenticação da aplicação, por design, para permitir que páginas de login e recursos públicos carreguem CSS/JS sem sessão. O problema é que esse caminho de acesso direto não valida corretamente o que está sendo solicitado, permitindo que um atacante manipule o path da requisição para alcançar recursos que deveriam estar protegidos por controle de acesso.

A Atlassian não publicou detalhes de payload nem da técnica exata de manipulação de path usada para escapar do diretório de recursos estáticos — apenas confirma que o vetor é o endpoint /s/ e que o resultado é leitura de 'restricted resources'. É a mesma classe de bug de uma falha anterior no mesmo produto (CVE-2020-29448, também pré-auth arbitrary file read) e de uma falha equivalente no Jira Server (CVE-2021-26086), reportada no mesmo lote — sugerindo um padrão de implementação compartilhado entre os dois produtos Atlassian que trata mal requisições diretas a esse tipo de endpoint.

O atacante não controla execução de código nem escrita — controla apenas o path/nome do recurso solicitado dentro da faixa que a falha permite alcançar. Isso é consistente com o vetor CVSS C:L: confidencialidade parcialmente impactada, integridade e disponibilidade intactas.

O vetor é uma requisição HTTP simples (GET) ao endpoint /s/ da instância Confluence exposta na rede, sem necessidade de autenticação (PR:N), interação do usuário (UI:N) ou configuração não padrão conhecida — qualquer instância nas versões afetadas e acessível pela rede é candidata. A complexidade de ataque é baixa (AC:L), o que combinado com ausência de autenticação explica a alta pontuação EPSS e a presença de PoC pública e template Nuclei: é trivial de escanear em massa.

O resultado da exploração é a visualização de recursos que deveriam estar restritos ao usuário autenticado — não fica claro nas fontes disponíveis se isso se limita a arquivos internos da aplicação Confluence (templates, configurações de plugin) ou se alcança arquivos arbitrários do sistema operacional subjacente; a nomenclatura oficial da Atlassian é 'view restricted resources', mais conservadora que 'arbitrary file read' usado no título de mercado.

A CISA confirma exploração ativa no catálogo KEV (adicionado em 28/03/2022), mas não a associa a campanhas de ransomware. Não há detalhes publicados sobre quem explorou, em que escala, ou qual foi o objetivo final dos ataques observados.

Atualizar para 7.4.10 (branch antigo) ou 7.12.3 (branch mais recente na época) elimina a falha; 7.13.0 e 7.14.0 também contêm a correção. Não há paliativo de configuração publicado pela Atlassian nem por pesquisadores nas fontes analisadas — a orientação oficial e a ação registrada no KEV são simplesmente 'aplicar as atualizações do fornecedor'.

Como o vetor depende de acesso de rede ao endpoint /s/, restringir a exposição da instância Confluence à internet pública (colocando-a atrás de VPN ou controle de acesso de rede) reduz a superfície de ataque enquanto a atualização não é aplicada, mas isso é controle compensatório de perímetro, não correção da falha em si — instâncias internas continuam vulneráveis a quem tiver acesso à rede interna.

Não existe mitigação via desativação de funcionalidade específica documentada nas fontes consultadas; dado que o endpoint /s/ é usado para servir recursos legítimos antes do login, bloqueá-lo por completo via proxy/WAF pode quebrar funcionalidades da aplicação (como a própria página de login), então qualquer regra de bloqueio precisa ser testada com cuidado antes de aplicar em produção — e mesmo assim é paliativo, não substitui a atualização.

Não há assinatura de log ou padrão de tráfego publicamente documentado nas fontes consultadas. Como o vetor é uma requisição HTTP direta ao endpoint /s/, o ponto de partida razoável para investigação é revisar logs de acesso do Confluence/servidor web em busca de requisições a caminhos contendo /s/ com sequências de escape de diretório ou nomes de recurso fora do padrão esperado de temas/plugins — mas isso é inferência a partir do mecanismo, não uma assinatura confirmada por pesquisa pública.

A existência de template Nuclei e PoC pública sugere que ferramentas de varredura automatizada geram requisições facilmente reconhecíveis por padrão de user-agent ou timing de scan, mas nenhuma fonte consultada detalha essas assinaturas especificamente para esta CVE.