Der Fehler liegt in der Verarbeitung von Ansible-Repositories in JFrog Artifactory, einer Verwaltungslösung für Software-Artefakte. Die Prüfung übergebener URLs ist dort unzureichend: Adressen werden nicht ausreichend validiert, bevor der Server sie aufruft. Ein Benutzer, der über bestimmte Zugriffsrechte auf ein solches Repository verfügt, kann dadurch erreichen, dass der Server Anfragen an Ziele stellt, die vom Betreiber nicht vorgesehen sind – ein serverseitiger Anfrageschmuggel (Server-Side Request Forgery). Da diese Anfragen aus der Vertrauensstellung des Servers heraus erfolgen, lassen sich damit unter Umständen interne, von außen nicht erreichbare Dienste ansprechen. Die Auswirkungen betreffen vor allem die Vertraulichkeit und die Integrität: Es können Informationen offengelegt oder Daten unbeabsichtigt verändert werden. Voraussetzung für die Ausnutzung ist ein Konto mit passenden Repository-Berechtigungen, ein völlig unangemeldeter Zugriff genügt also nicht. Der Hersteller hat den Fehler in korrigierten Ausgaben von Artifactory behoben.