Gepatchte JFrog Artifactory-Schwachstellen für Admin-Zugriff und Backdoors verkettet

Zwei JFrog Artifactory-Schwachstellen, beide bereits gepatcht, wurden von Angreifern verkettet, um die Administrator-Kontrolle über selbst gehostete Server zu übernehmen und Backdoors zu platzieren, sagte das Cloud-Sicherheitsunternehmen Wiz. Artifactory ist eine Repository-Plattform, also ein Server, der Softwarepakete und Build-Artefakte speichert, die Entwickler während automatisierter Builds herunterladen. Wiz beobachtete die Angriffe zwischen dem 15. August und dem 8. September. JFrog hatte beide Schwachstellen vor diesem Zeitraum behoben, sodass nur Installationen, die die Updates nicht angewendet hatten, angreifbar waren. Keine der beiden Schwachstellen allein gewährt Administratorrechte, aber zusammen ermöglichten sie eine vollständige Übernahme.

Die erste Schwachstelle, verfolgt als CVE-2026-42018, veranlasst Artifactory, ein internes Token für seinen integrierten anonymen Benutzer an einen Aufrufer herauszugeben, der nicht angemeldet ist, selbst wenn der anonyme Zugriff deaktiviert ist. Ein Token ist ein digitaler Nachweis, der bestätigt, wer Sie sind oder was Sie tun dürfen. Die zweite Schwachstelle, CVE-2026-42016, ermöglicht es dann, dieses Token mit geringen Rechten gegen eines mit Administratorumfang einzutauschen. Artifactory prüft die kryptografische Signatur eines Tokens und welche Autorität es ausgestellt hat, erklärte Wiz, aber es prüft nicht, was das Token tatsächlich tun darf. In jedem Fall, den das Sicherheitsunternehmen sah, sandte der Angreifer zuerst eine nicht authentifizierte Anfrage an einen Token-Endpunkt und erhielt ein Token für den internen anonymen Benutzer. Als Nächstes tauschte der Angreifer dieses Token am Token-Erstellungsendpunkt von Artifactory gegen ein Token mit Administratorumfang. Dieses zweite Token behält den anonymen Benutzernamen, sodass Administratoraktionen, die damit ausgeführt werden, in den Serverprotokollen als token:anonymous erscheinen und nicht unter einem benannten Konto. In einigen Angriffen betrug die Zeit von der ersten Anfrage bis zur Erstellung eines neuen Administratorkontos weniger als fünf Minuten. Die Kette erreicht nur Server, die für beide Schwachstellen anfällig sind. Die von JFrog veröffentlichten Bereiche zeigen, dass CVE-2026-42016 bis Version 7.133.11 behoben ist, während die Zweige 7.146 und 7.161 außerhalb dieses Bereichs liegen. JFrog lieferte den Fix für CVE-2026-42018 am 28. April im Zweig 7.146 und am 12. August im Zweig 7.133, drei Tage bevor die von Wiz beobachteten Angriffe begannen.

Mit Administrator-Kontrolle folgten die Angreifer keinem identischen Skript. Wiz stellte fest, dass kein einzelner Akteur jeden beobachteten Schritt ausführte. Auf kompromittierten Servern erstellten Angreifer Administratorkonten und ließen sie bestehen. Sie installierten auch bösartige Groovy-Plugins, kleine Programme in der Sprache Groovy, die Artifactory laden kann, um benutzerdefinierte Aktionen auszuführen, über das Plugin-Framework von Artifactory, was ihnen ermöglichte, Code auf dem Server auszuführen. Einige Angreifer führten Shell-Befehle über den Plugin-Ausführungsendpunkt aus, um Verzeichnisse zu erkunden und Dateien aufzulisten. Ein Dropper lud eine Binärdatei über HTTP herunter, schrieb sie in ein weltweit beschreibbares Verzeichnis wie /tmp, einen temporären Ordner, in den jeder Benutzer auf dem Server schreiben kann, und öffnete einen Command-and-Control-Kanal, die Verbindung, die eine kompromittierte Maschine verwendet, um Anweisungen zu erhalten. Wiz sagte, es fand auch eine benutzerdefinierte Rust-Backdoor, einen versteckten Weg für einen Angreifer, später wieder in ein System einzudringen, mit Command-and-Control-Funktionen, die in mehreren Fällen abgelegt wurden.

Eine dritte JFrog Artifactory-Schwachstelle, CVE-2026-82329, wurde separat zwischen dem 1. und 8. September ausgenutzt. Es ist eine kritische Authentifizierungsumgehung, bewertet mit 9,8 auf der CVSS-Schweregradskala, wobei 10 am schwerwiegendsten ist, und sie zielt auf die Standardkonfiguration von Artifactory ab, ohne dass eine zweite Schwachstelle erforderlich ist. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann dadurch allein Administratorrechte über sechs Release-Zweige bis Version 7.161 erlangen. The Hacker News berichtete am 1. September, dass Angreifer begonnen hatten, Administrator-Token durch diese Schwachstelle zu erstellen, Tage nachdem JFrog sie offengelegt hatte. Die U.S. Cybersecurity and Infrastructure Security Agency, CISA, fügte sie am 2. September ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu und setzte eine Frist bis zum 5. September für Bundesbehörden, zu handeln. Das Content Delivery Network Fastly sagte in einer Analyse, dass ein öffentlicher Exploit am 1. September auftauchte und Scans folgten. Fastly zählte etwa 406.000 Ausnutzungsversuche auf seiner Plattform am 2. September, seinem geschäftigsten Tag, obwohl dies Versuche im Datenverkehr sind und keine bestätigten Kompromittierungen. Auf Servern, die durch diese Schwachstelle übernommen wurden, sah Wiz, wie Angreifer die Systemkonfiguration lasen und in mehreren Fällen den Cluster-Join-Key nahmen, das gemeinsame Geheimnis, das Artifactory-Knoten verwenden, um sich gegenseitig zu registrieren.

Die Sicherheitshinweise von JFrog listen feste Builds für jeden Release-Zweig auf, also eine Linie von Versionen, die Fixes für diese Serie erhalten. Für CVE-2026-42018 sind die festen Versionen 7.111.20, 7.117.27, 7.125.19, 7.133.28 und 7.146.8. Für CVE-2026-42016 ist die einzige von JFrog aufgeführte feste Version 7.133.11, ohne separaten Fix für jeden Zweig. Der Hinweis sagt nicht, ob ein späterer Build auf einem älteren Zweig, wie 7.117.28, diese Schwachstelle ebenfalls schließt; The Hacker News hat JFrog und Wiz um Klarstellung gebeten. Für CVE-2026-82329 sind die festen Versionen 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 und 7.161.20. JFrog veröffentlicht einen Workaround für diese dritte Schwachstelle für alle, die nicht schnell aktualisieren können: Generieren Sie einen zufälligen Wert und fügen Sie ihn als zusätzlichen Join-Key in die Konfigurationsdatei system.yaml ein, sodass nur die von Ihnen bereitgestellten Schlüssel akzeptiert werden, wenn sich ein Dienst registriert. Es gibt keine Zwischenlösung für die beiden verketteten Schwachstellen in irgendeinem konsultierten Hinweis oder Bericht.

Ein wichtiger Punkt für Administratoren ist, dass die Installation eines Patches Angreiferänderungen nicht rückgängig macht. Die von Angreifern erstellten Administratorkonten verschwinden nicht, wenn die Software aktualisiert wird. Wiz sah diese Konten sowohl durch die Zwei-Schwachstellen-Kette als auch durch CVE-2026-82329 erstellt. Für CVE-2026-82329 rät Fastly, jeden exponierten Server als kompromittiert zu behandeln. Fastly sagte, ein Patch widerruft bereits erstellte Token nicht. Ein Upgrade ändert auch keinen Join-Key, den Angreifer bereits genommen haben. Fastly empfiehlt, den Plattform-Join-Key zu rotieren, seit dem 28. August ausgestellte Zugriffstoken zu widerrufen und Administratorkonten, Repositories und Konfigurationsänderungen zu überprüfen.

Um festzustellen, ob eine Installation betroffen ist, achten Sie auf Konten, die Dinge tun, die ihre Berechtigungen nicht zulassen sollten. Das klarste Signal ist der interne anonyme Benutzer oder ein Konto mit geringen Rechten, das Token erstellt, Benutzer auflistet oder Plugins liest und schreibt. Als Nächstes suchen Sie nach Administratorkonten, die niemand absichtlich erstellt hat. Die meisten, die Wiz sah, haben Proof-of-Concept-Namen wie 0xTerror oder Namen, die mit svc_ und labadmin_ beginnen, gefolgt von zufälligen Zeichen. Einige wurden entworfen, um sich einzufügen, mit Namen wie jfrog-distribution, jfrog-insight und repo-service. Der Bericht von Wiz listet Angreiferadressen und einen Payload-Hash auf, nach denen Verteidiger suchen können.

CVE-2026-42016 wurde am 27. Juli als Teil einer Reihe von Artifactory-Hinweisen veröffentlicht, von denen mehrere OpenAI-Forscher würdigen, einschließlich dieses. The Hacker News berichtete im Juli, dass JFrog bestätigt hatte, dass OpenAI-Modelle eine Artifactory-Zero-Day während einer internen Evaluierung ausnutzten, und dass keines der beiden Unternehmen gesagt hatte, welche CVE-Datensätze den verwendeten Schwachstellen entsprechen. Dieser Vorfall veranschaulicht, wie Angreifer kleine Fehltritte zu vollständiger Kontrolle verketten können, sobald ein bekannter Fix nicht angewendet wird. Für Website-Besitzer und IT-Teams, die selbst gehostete Build-Tools betreiben, kann AEU-I, der sicherheitsorientierte IT- und Infrastrukturberatungsdienst der AEU Group, helfen, rechtzeitiges Patchen und Zugriffsüberprüfungen zu strukturieren, damit ein bekannter Fix nicht unangewendet bleibt. Die unmittelbare Priorität für jeden, der JFrog Artifactory betreibt, bleibt, auf den festen Build für seinen Zweig zu aktualisieren und dann die oben beschriebenen Post-Incident-Prüfungen durchzuführen.