JFrog Artifactory Schwachstellen verkettet, um Backdoor zu installieren

Selbst gehostete JFrog Artifactory-Server werden aktiv über eine Kette von Authentifizierungsfehlern angegriffen, die Eindringlingen die administrative Kontrolle ermöglichen und eine Rust-basierte Backdoor platzieren. Artifactory ist ein beliebter Software-Repository-Manager, der von Entwicklungsteams genutzt wird, um Codepakete, Build-Dateien und andere Software-Artefakte zu speichern und zu verteilen. Wenn Organisationen es auf ihren eigenen Servern betreiben, anstatt eine cloud-gehostete Version zu verwenden, sind sie für das Patchen verantwortlich. Ein neuer Bericht des Cloud-Sicherheitsunternehmens Wiz bestätigt, dass Angreifer mehrere Schwachstellen in diesen selbst gehosteten Instanzen ausgenutzt haben, wobei zwei davon in einer einzigen Angriffskette kombiniert wurden.

Wiz beobachtete die Ausnutzung in mehreren Umgebungen zwischen dem 15. August und dem 8. September 2026. Die Hauptangriffskette kombiniert CVE-2026-42018 mit CVE-2026-42016. Eine dritte Schwachstelle, CVE-2026-82329, ist eine kritische Authentifizierungsumgehung, die laut dem Offensive-Security-Unternehmen watchTowr früher in diesem Monat ausgenutzt wurde, um Administrator-Token zu erzeugen. Authentifizierungsumgehung bedeutet, dass ein Angreifer die Anmeldeüberprüfungen eines Systems umgehen kann, ohne ein gültiges Passwort zu kennen. In diesem Fall ermöglicht der Fehler jemandem, ein digitales Token zu erstellen, das die höchste Kontrollstufe gewährt.

Laut Wiz missbraucht der erste Schritt CVE-2026-42018, um ein JSON Web Token (JWT) zu erhalten, ein digitaler Ausweis, der bestätigt, wer ein Benutzer ist, für einen internen anonymen Artifactory-Benutzer. Das Problem ist, dass dies auch dann funktioniert, wenn der anonyme Zugriff deaktiviert ist, und das Token nur geringe Berechtigungen trägt. Als Nächstes nutzt der Angreifer CVE-2026-42016 aus, verursacht durch unzureichende Token-Validierung, um diese Berechtigungen auf Administrator-Ebene zu erhöhen. Token-Validierung ist der Prozess der Überprüfung, dass ein digitaler Ausweis echt ist und die darin enthaltenen Berechtigungen zulässig sind. Hier ist diese Überprüfung zu schwach, sodass der Angreifer ein Token mit geringen Berechtigungen in eines mit Administratorumfang umwandeln kann. Wiz-Forscher bemerken, dass der Angreifer in einigen Fällen weniger als fünf Minuten benötigte, um ein Administratorkonto zu erstellen.

Nach der Erstellung von Administratorkonten und der Generierung langlebiger Zugriffstoken installierten die Angreifer bösartige Groovy-Plugins. Groovy ist eine Programmiersprache, die Artifactory für einige seiner Erweiterungsfunktionen verwendet, und Plugins können neue Funktionen hinzufügen oder Aufgaben automatisieren. Bösartige Plugins ermöglichten es den Angreifern, beliebige Befehle auf dem Server auszuführen. Um den Zugriff über die Zeit aufrechtzuerhalten, setzten sie eine benutzerdefinierte Rust-basierte Backdoor mit Command-and-Control (C2)-Fähigkeiten ein. Eine Backdoor ist ein versteckter Weg für einen Angreifer, später wieder in ein System zu gelangen, und C2 bedeutet, dass die Malware Anweisungen von einem Remote-Server empfangen kann, der von den Angreifern kontrolliert wird. Wiz erklärte: "Zwischen dem 15. August und dem 8. September 2026 beobachteten wir mehrere Akteure, die CVE-2026-42018 und CVE-2026-42016 gegen selbst gehostete Artifactory-Instanzen verketteten." Die Forscher fügten hinzu: "In mehreren Fällen beobachteten wir, dass eine benutzerdefinierte Rust-Backdoor mit C2-Fähigkeiten abgelegt wurde."

In der nächsten Phase lud der Bedrohungsakteur zusätzliche Payloads in temporäre Verzeichnisse wie /dev/shm, /tmp und /var/tmp herunter. Sie luden Webshells hoch, kleine Skripte, die auf einem Server platziert werden, um einem Remote-Angreifer ein webbasiertes Kontrollpanel zu geben. Sie stahlen Artifactory-Konfigurationsdaten und Cluster-Join-Keys, Geheimnisse, die von mehreren Artifactory-Knoten verwendet werden, um sich gegenseitig zu vertrauen. Sie zählten Repositories, Token und Benutzer auf, das heißt, sie listeten alle gespeicherten Pakete, Zugriffsausweise und Konten auf. Sie fügten auch ihre eigenen SSH-Schlüssel zu neu erstellten Konten hinzu. SSH-Schlüssel sind eine passwortlose Anmeldemethode, die kryptografische Schlüssel verwendet, sodass das Hinzufügen ihres Schlüssels dem Angreifer einen direkten verschlüsselten Weg bietet, sich später ohne Passwort anzumelden.

Wiz warnt, dass zwischen 49 % und 62 % der erreichbaren Artifactory-Instanzen für mindestens eine der drei Schwachstellen anfällig sind. Das bedeutet, dass etwa die Hälfte der internetzugewandten Artifactory-Server, die sie gescannt haben, angegriffen werden könnte. Systemadministratoren sollten sofort auf eine der folgenden Artifactory-Release-Versionen oder höher aktualisieren: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 und 7.161.20. Nach dem Upgrade empfiehlt Wiz, alle internetexponierten Instanzen auf unerwartete Token-Erstellung, betrügerische Administratorkonten, verdächtige Plugin-Aktivitäten und Enumeration-Anfragen zu untersuchen. Der Zugriff sollte auf vertrauenswürdige Systeme beschränkt werden. Wiz hat Indicators of Compromise (IoCs) veröffentlicht, technische Fingerabdrücke, die Verteidigern helfen, die Angriffe zu erkennen. Für Teams, die selbst gehostete Software wie Artifactory verwalten, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung an, um bei Patchen, Zugriffskontrolle und kontinuierlicher Überwachung zu helfen. BleepingComputer kontaktierte JFrog, um die gemeldete Aktivität zu bestätigen, aber bis zur Veröffentlichung war keine Antwort eingegangen.