Falle in JFrog Artifactory concatenate per installare una backdoor
I server JFrog Artifactory self-hosted sono sotto attacco attivo attraverso una catena di falle di autenticazione che permettono agli intrusi di prendere il controllo amministrativo e installare una backdoor basata su Rust. Artifactory è un popolare gestore di repository software usato dai team di sviluppo per archiviare e distribuire pacchetti di codice, file di build e altri artefatti software. Quando le organizzazioni lo eseguono sui propri server invece di usare una versione cloud, sono responsabili dell'aggiornamento. Un nuovo rapporto della società di sicurezza cloud Wiz conferma che gli attaccanti hanno sfruttato più vulnerabilità in queste istanze self-hosted, combinandone due in un'unica catena di attacco.
Wiz ha osservato lo sfruttamento in diversi ambienti tra il 15 agosto e l'8 settembre 2026. La catena di attacco principale abbina CVE-2026-42018 con CVE-2026-42016. Una terza vulnerabilità, CVE-2026-82329, è un bypass critico dell'autenticazione che la società di sicurezza offensiva watchTowr ha segnalato come sfruttato all'inizio di questo mese per generare token amministratore. Il bypass dell'autenticazione significa che un attaccante può superare i controlli di accesso di un sistema senza conoscere una password valida. In questo caso, la falla permette a qualcuno di creare un token digitale che concede il massimo livello di controllo.
Secondo Wiz, il primo passo abusa di CVE-2026-42018 per ottenere un JSON Web Token (JWT), che è un pass digitale che prova chi è un utente, per un utente anonimo interno di Artifactory. Il problema è che questo funziona anche quando l'accesso anonimo è disabilitato, e il token porta solo privilegi bassi. Poi, l'attaccante sfrutta CVE-2026-42016, causata da una convalida del token insufficiente, per elevare quei privilegi a livello amministratore. La convalida del token è il processo di verifica che un pass digitale sia autentico e che i permessi che porta siano consentiti. Qui, quel controllo è troppo debole, quindi l'attaccante può trasformare un token a basso privilegio in uno con ambito amministratore. I ricercatori di Wiz notano che in alcuni casi l'attaccante ha impiegato meno di cinque minuti per creare un account amministratore.
Dopo aver creato account amministratore e generato token di accesso a lunga durata, gli attaccanti hanno installato plugin Groovy malevoli. Groovy è un linguaggio di programmazione che Artifactory usa per alcune delle sue funzionalità di estensione, e i plugin possono aggiungere nuove funzioni o automatizzare attività. I plugin malevoli permettono agli attaccanti di eseguire comandi arbitrari sul server. Per mantenere l'accesso nel tempo, hanno distribuito una backdoor personalizzata basata su Rust con capacità di comando e controllo (C2). Una backdoor è un modo nascosto per un attaccante di rientrare in un sistema in seguito, e C2 significa che il malware può ricevere istruzioni da un server remoto controllato dagli attaccanti. Wiz ha dichiarato: "Tra il 15 agosto e l'8 settembre 2026, abbiamo osservato più attori concatenare CVE-2026-42018 e CVE-2026-42016 contro istanze Artifactory self-hosted." I ricercatori hanno aggiunto: "In più casi, abbiamo osservato una backdoor personalizzata in Rust con capacità C2 essere rilasciata."
Nella fase successiva, l'attore della minaccia ha scaricato ulteriori payload in directory temporanee come /dev/shm, /tmp e /var/tmp. Hanno caricato webshell, che sono piccoli script posizionati su un server per dare a un attaccante remoto un pannello di controllo basato sul web. Hanno rubato dati di configurazione di Artifactory e chiavi di join del cluster, che sono segreti usati da più nodi Artifactory per fidarsi l'uno dell'altro. Hanno enumerato repository, token e utenti, cioè hanno elencato tutti i pacchetti archiviati, i pass di accesso e gli account. Hanno anche aggiunto le proprie chiavi SSH agli account appena creati. Le chiavi SSH sono un metodo di accesso senza password che usa chiavi crittografiche, quindi aggiungere la loro chiave dà all'attaccante un modo diretto e crittografato per accedere in seguito senza bisogno di una password.
Wiz avverte che tra il 49% e il 62% delle istanze Artifactory raggiungibili sono vulnerabili ad almeno una delle tre falle. Ciò significa che circa la metà dei server Artifactory esposti a internet che hanno scansionato potrebbe essere attaccata. Gli amministratori di sistema dovrebbero aggiornare immediatamente a una delle seguenti versioni di rilascio di Artifactory o successive: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 e 7.161.20. Dopo l'aggiornamento, Wiz raccomanda di investigare qualsiasi istanza esposta a internet per creazione imprevista di token, account amministratore non autorizzati, attività sospetta di plugin e richieste di enumerazione. L'accesso dovrebbe essere limitato solo a sistemi fidati. Wiz ha pubblicato indicatori di compromissione (IoCs), che sono impronte tecniche che aiutano i difensori a rilevare gli attacchi. Per i team che gestiscono software self-hosted come Artifactory, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza per aiutare con patch, controllo degli accessi e monitoraggio continuo. BleepingComputer ha contattato JFrog per confermare l'attività segnalata, ma al momento della pubblicazione non era stata ricevuta alcuna risposta.