Artifactory

Betroffen ist die selbst gehostete Variante der Repository-Verwaltung JFrog Artifactory. Der Fehler liegt in der Berechtigungsprüfung bei der Verarbeitung von Zugriffstoken: Die Software prüft zwar, ob die Signatur beziehungsweise der Aussteller eines Tokens gültig ist, wertet aber nicht aus, welchen Geltungsbereich – also welche Rechte und welchen Zugriffsumfang – dieses Token tatsächlich besitzt. Ein Angreifer, der über ein gültiges, aber nur eingeschränkt berechtigtes Token verfügt, kann dadurch Aktionen ausführen, die ihm nicht zustehen, und seine Rechte innerhalb der Plattform ausweiten. Da Artifactory als zentrale Ablage für Softwarepakete, Container-Images und Build-Artefakte dient, wiegt eine solche Rechteausweitung schwer: Angreifer könnten auf fremde Repositories zugreifen oder Inhalte verändern und damit nachgelagerte Build- und Auslieferungsprozesse beeinflussen.