JetBrains-Cadence-Sicherheitsvorfall legt AWS-Zugangsdaten über TeamCity offen

JetBrains fordert Nutzer seines Cadence-Cloud-Dienstes auf, alle Zugangsdaten zu widerrufen und zu rotieren, nachdem ein Sicherheitsvorfall aufgetreten ist, bei dem Angreifer eine kritische Schwachstelle in einem nicht gepatchten TeamCity-Server ausnutzten, um in die eigene Umgebung des Unternehmens einzudringen. Die Schwachstelle, verfolgt als CVE-2026-63077, trägt die höchste Schweregrad-Bewertung von 9,8 auf der CVSS-Skala, die misst, wie gefährlich eine Schwachstelle ist, wobei 10 am schwerwiegendsten ist. Cadence ist ein von JetBrains gehosteter Cloud-Computing-Dienst, der es Entwicklern ermöglicht, maschinelles Lernen und andere rechenintensive Arbeitslasten auf Cloud-Grafikprozessoren direkt aus dem PyCharm-Code-Editor über ein optionales Plugin auszuführen.

Die Schwachstelle ist ein Problem der Deserialisierung nicht vertrauenswürdiger Daten. Einfach ausgedrückt ermöglicht sie einem Angreifer, der einen TeamCity-Server erreichen kann, normale Anmeldeprüfungen zu umgehen und Betriebssystembefehle mit den gleichen Privilegien wie der TeamCity-Serverprozess auszuführen. Die US-amerikanische Cybersecurity and Infrastructure Security Agency hat CVE-2026-63077 am 5. August 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, was bedeutet, dass der Fehler bekanntermaßen aktiv in echten Angriffen ausgenutzt wird. JetBrains gibt an, diese spezifische Ausnutzung am 23. August 2026 entdeckt zu haben. Der Eindringungsversuch fand zwischen dem 8. und 24. August 2026 statt. Der betroffene Cadence-Server, api.cadence.jetbrains.com, wurde seitdem offline genommen. JetBrains räumte auch ein, dass der Server im Rahmen seiner eigenen Schwachstellenreaktionsarbeit hätte gepatcht werden müssen, aber das Unternehmen erklärte nicht, warum dies nicht geschah.

Laut JetBrains erlangte der Angreifer Zugriff auf ein vollständiges Backup des Cadence-Servers aus dem Jahr 2024. Dieses Backup enthielt Zugangsdaten, Konfigurationen, Artefakte, Protokolle und andere Daten. JetBrains bestätigte auch, dass der Angreifer auf mehrere AWS-IAM-Benutzer und zugehörige Zugangsdaten und Geheimnisse zugegriffen hat, die aus dem Backup extrahiert wurden, einschließlich IAM-Benutzern von JetBrains-Mitarbeitern, die den Dienst nutzten. AWS IAM ist das Identity and Access Management-System von Amazon Web Services, das steuert, wer Cloud-Ressourcen nutzen kann. Der Angreifer erreichte auch Dateien, die in S3-Buckets in den AWS-Konten von JetBrains gespeichert waren, die von Cadence verwendet werden. S3-Buckets sind ein häufiger Typ von Cloud-Speichercontainern bei Amazon Web Services. Persönliche Daten, deren Zugriff bestätigt wurde, umfassen Benutzernamen, echte Namen, E-Mail-Adressen, Zeitstempel der letzten Anmeldung und zuletzt verwendete IP-Adressen. JetBrains erklärte, dass der Angreifer möglicherweise auch auf Quellcode zugegriffen hat, der von PyCharm-Projekten auf den betroffenen Server synchronisiert wurde, was bedeutet, dass Code, Zugangsdaten oder Konfigurationen, die für die Ausführung in Cadence hochgeladen oder synchronisiert wurden, offengelegt worden sein könnten. Daniel Gallo, Solutions Engineering Lead bei JetBrains, sagte, dass die Ergebnisse dieselbe Gruppe von Benutzern betreffen, die zuvor direkt kontaktiert wurden, und keine weiteren betroffenen Benutzer identifiziert wurden, aber das Unternehmen behandelt die gespeicherten Daten als potenziell offengelegt.

JetBrains hat alle Zugriffstokens ungültig gemacht, die vom Cadence-Plugin in PyCharm verwendet werden, um eine Verbindung zum Dienst herzustellen. Das Unternehmen teilte auch eine Liste von Indikatoren für eine Kompromittierung mit. Dazu gehören Aktivitäten ab dem 8. August 2026, die Zugangsdaten verwenden, die zuvor in Cadence gespeichert oder darüber zugänglich waren, Verbindungen von bestimmten IP-Adressen wie 150.109.230.104, 43.153.227.206, 62.210.127.48, 210.247.242.190, 15.235.225.205 und 152.233.30.18, Authentifizierung von unerwarteten Standorten, unerwartete Repository-Klone oder -Downloads, Änderungen an Repository-Geheimnissen oder -Berechtigungen, neue oder geänderte Zugriffstokens oder SSH-Schlüssel, neue Dienstkonten, unerwartete Änderungen an Cloud-IAM-Rollen oder -Richtlinien sowie unerwarteter Zugriff auf Cloud-Speicher. JetBrains bittet Benutzer, nicht nur Zugangsdaten zu rotieren, sondern auch verbundene Systeme wie AWS-Konten, S3-Buckets, Bereitstellungsumgebungen und Paketregistries zu überprüfen, Quellcode-Repositories auf unbefugte Änderungen zu prüfen und alle Cadence-Ausführungen als potenziell nicht vertrauenswürdig zu behandeln. Das Unternehmen warnt, dass die wahrscheinlichen Folgen der Offenlegung persönlicher Daten gezieltes Phishing, Social Engineering, Identitätsdiebstahl und andere unaufgeforderte oder böswillige Kommunikation umfassen.

Für Website-Betreiber und IT-Teams ist dieser Vorfall eine Erinnerung daran, dass ein einzelner nicht gepatchter Server nicht nur ein Konto, sondern eine gesamte Cloud-Umgebung gefährden kann, einschließlich Zugangsdaten, die Zugriff auf Speicher und Quellcode gewähren. Für Teams, die Cloud-Workloads ausführen und kontrollieren müssen, wer auf was zugreifen kann, kann eine sicherheitsorientierte IT- und Infrastrukturberatung wie AEU-I einen praktischen zweiten Blick auf Cloud-Identitätseinstellungen und den Umgang mit Zugangsdaten bieten. JetBrains hat nicht bekannt gegeben, wer hinter dem Angriff steckt.