Artifactory

Die Schwachstelle betrifft die Authentifizierung von JFrog Artifactory, einer Verwaltungslösung für Softwarepakete und Build-Artefakte. In der Standardkonfiguration ist die Prüfung der Identität eines Zugreifenden fehlerhaft umgesetzt. Dadurch kann ein Angreifer, der lediglich Netzwerkzugang zum System besitzt und über keinerlei gültige Zugangsdaten verfügt, administrative Rechte erlangen. Mit solchen Rechten lässt sich die Plattform vollständig kontrollieren – einschließlich der dort gespeicherten Artefakte, Konfigurationen und Zugriffsrechte. Da Artifactory typischerweise eine zentrale Rolle in Entwicklungs- und Auslieferungsprozessen einnimmt, reicht die Wirkung über das einzelne System hinaus: Wer die Ablage der Softwarepakete beherrscht, kann Inhalte manipulieren, die anschließend in nachgelagerte Systeme gelangen. Betroffen sind insbesondere Installationen, die ohne Anpassung der Standardeinstellungen betrieben werden und aus dem Netzwerk erreichbar sind.