LONDON (IT BOLTWISE) – Angreifer haben in selbst gehosteten JFrog-Artifactory-Instanzen zwei Schwachstellen verkettet, um Administratorrechte zu erlangen. Der Missbrauch startet mit einem nicht authentifizierten Aufruf, der Artifactory dazu bringt, ein Token für den internen anonymen Nutzer auszugeben. Anschließend wird dieses Token gegen ein Token mit Administrationsumfang eingetauscht, das Aktionen in den Logs als token: anonymous erscheinen lässt. Betroffen sind laut Bericht vor allem Instanzen, die nach JFrog-Updates nicht mehr nachgezogen wurden, während zusätzliche Backdoor-Aktivitäten über Plugins und C2-Kanäle beobachtet wurden.
Selbst gehostete Software-Repositorys stehen im Zentrum moderner Lieferketten: Artifactory von JFrog wird von Build-Pipelines als Datenquelle und häufig auch als Gate für Integrationen genutzt. Genau diese Stellung macht die nun beschriebene Angriffskette so gefährlich. Laut dem Sicherheitsreport von Wiz wurden zwischen dem 15. August und dem 8. September Fälle beobachtet, in denen Angreifer zwei Artifactory-Schwachstellen kombinierten, um zunächst einen internen Token-Fluss zu missbrauchen und daraus Administratorkontrolle abzuleiten. Wichtig ist dabei die zeitliche Komponente: JFrog hatte beide relevanten Fixes bereits vor dem Beobachtungszeitraum veröffentlicht, sodass vor allem Instanzen ohne Aktualisierung in der jeweiligen Release-Branch-Variante ein Einfallstor boten.
Technisch betrachtet beginnt die Eskalation mit CVE-2026-42018. Diese Lücke bringt Artifactory dazu, an einen Aufrufer, der sich nicht eingeloggt hat, ein internes Token für einen anonymen Benutzer auszuhändigen – und zwar selbst dann, wenn anonyme Zugriffe deaktiviert sind. Das wirkt zunächst wie ein reines Token-Leak, ist aber erst der Auftakt. Im zweiten Schritt übernimmt CVE-2026-42016 die Rolle des „Token-Tauschs“: Ein Token mit niedriger Berechtigungsstufe kann gegen ein Token mit Administratorumfang ausgetauscht werden. Die Logik dahinter: Artifactory prüft die Signatur und den Aussteller eines Tokens, aber nicht die Frage, welche Operationen bzw. welche Berechtigungen das Token im konkreten Kontext tatsächlich abdecken darf. Damit reicht eine scheinbar harmlose Token-Form als „Keimzelle“ für weitreichende Rechte.
Der Ablauf, den Wiz in den kompromittierten Umgebungen als wiederkehrendes Muster beschreibt, ist dabei ungewöhnlich klar: Zuerst senden Angreifer eine nicht authentifizierte Anfrage an einen Token-Endpunkt und erhalten anschließend ein Token für den internen anonymen Benutzer. Danach tauschen sie dieses Token am Token-Erstellungs-Endpunkt gegen ein neues Token mit Administratorberechtigung ein. Auffällig ist auch die Spurenlage im Betrieb: Administratoraktionen erscheinen in den Logs nicht unter einem benannten Account, sondern als token: anonymous. In einzelnen Fällen ging dieser Weg von der ersten Anfrage bis zur Erstellung eines neuen Administrator-Accounts innerhalb von unter fünf Minuten. Damit entsteht für Security-Teams ein konkret messbarer Indikator: nicht „typisches Login-Verhalten“, sondern Token-Erstellung und -Eskalation ohne vorherige Session, kombiniert mit Admin-Events im Log.
Die Kette zeigt zudem eine Branch-spezifische Begrenzung. Laut dem Report „reicht“ die Schwachstellenkombination nur dann, wenn beide Lücken in derselben Artifactory-Version vorhanden sind; das Schließen einer der beiden Seiten bricht den Ablauf. In JFrogs veröffentlichten Versionranges endet CVE-2026-42016 bei 7.133.11; dadurch bleiben die Branches 7.146 und 7.161 außerhalb der Range. Für die Praxis heißt das: Angreifer mussten nicht nur zur falschen Zeit im falschen Zielnetz auftauchen, sondern auch auf einem Patch-Stand landen, der beide Bedingungen erfüllt. JFrog lieferte laut Angaben den Fix für CVE-2026-42018 auf dem 7.146-Branch am 28. April und auf dem 7.133-Branch am 12. August, also jeweils vor Beginn der von Wiz beobachteten Angriffswelle; entsprechend erklärt sich, warum vor allem nicht aktualisierte Server anfällig waren. Zusätzliche Abweichungen können dabei durch weitere, separiert ausgenutzte Schwachstellen entstehen.
In den betroffenen Instanzen unterschieden sich die Folgeaktionen der Angreifer, aber sie folgten einem klaren Ziel: Persistenz, Code-Ausführung und späterer Zugriff. Wiz beschreibt, dass Angreifer Administrator-Accounts anlegten und sie anschließend aktiv ließen. Zudem installierten sie bösartige Groovy-Plugins über das Plugin-Framework von Artifactory, was ihnen Code-Ausführung auf dem Server ermöglichte. Von dort aus wurden teils Shell-Kommandos über Plugin-Ausführungsendpunkte genutzt, um Dateien zu listen und Umgebungspfade zu verstehen. Ein Dropper lud nach den Beobachtungen Binärdaten per HTTP nach, schrieb sie in ein „world-writable“ Verzeichnis wie /tmp und baute anschließend einen Command-and-Control-Kanal auf; in mehreren Fällen kam zudem ein eigener Rust-Backdoor zum Einsatz, das ebenfalls C2-Funktionalität mitbrachte. Gerade diese Post-Exploitation-Phase ist der Grund, warum ein reines „Upgrade auf Version X“ allein nicht als vollständige Bereinigung gilt.
Als zusätzlicher Hebel wird CVE-2026-82329 erwähnt, die laut Report zwischen dem 1. September und dem 8. September unabhängig ausgenutzt wurde. Fastly ordnet diese Lücke als kritischen Authentication Bypass ein (CVSS: 9,8) und betont, dass dafür keine weitere Schwachstelle nötig sei: Ein nicht authentifizierter Angreifer mit Netzwerkzugang kann demnach allein über diese Lücke Administratorrechte erhalten. In der Signalwirkung zeigt sich auch die Breitenwirkung auf der Angriffsfläche: Fastly berichtet von rund 406.000 Exploit-Versuchen am 2. September auf seiner Plattform, wobei es sich dabei um beobachtete Versuche im Traffic handelt, nicht um bestätigte Kompromittierungen. Für Administratoren bedeutet das: Netzwerk-Exponierung ist ein eigenständiger Risikohebel, und die „richtige“ Reaktion muss sowohl Patching als auch die Bereinigung möglicher Tokens und Konfigurationseinträge umfassen.
Für die Incident-Response liefert der Bericht konkrete Handlungslogik. JFrog empfiehlt, selbst gehostete Artifactory-Installationen auf die in den Security Advisories genannten fixierten Builds der jeweiligen Release-Branch zu upgraden; für Cloud-Instanzen sei kein Handlungsbedarf erforderlich. In den Details zu CVE-2026-42018 und CVE-2026-42016 nennt der Bericht betroffene und fixierte Versionen, darunter für CVE-2026-42018 Fixes auf Branch-Ständen wie 7.111.20, 7.117.27, 7.125.19, 7.133.28 und 7.146.8 sowie für CVE-2026-42016 als Fix 7.133.11 (ohne separate Fix-Abdeckung je Branch in der Advisory-Logik). Für CVE-2026-82329 existiert dagegen ein Workaround: Wer nicht schnell genug upgraden kann, soll einen zufälligen Wert generieren und ihn als zusätzlichen Join-Key in system.yaml hinterlegen, sodass nur eigene Schlüssel akzeptiert werden, wenn Services sich registrieren. Gleichzeitig wird ausdrücklich betont, warum Patching allein nicht alles rückgängig macht: Administrator-Accounts, die Angreifer angelegt haben, verschwinden nicht automatisch durch ein Update; außerdem werden bereits „gemintete“ Tokens nicht durch einen Upgrade entzogen, und auch Join-Keys, die bereits kompromittiert wurden, bleiben bestehen.
Praktisch sollten Teams daher die Kontrollpunkte scharf machen, die der Report als „klarstes Signal“ beschreibt. Im Mittelpunkt stehen ungewöhnliche Konto- und Token-Aktivitäten: der interne anonyme Nutzer bzw. Low-Privilege-Accounts, die Tokens erstellen, Nutzer auflisten oder Plugins installieren und ausführen. Zusätzlich gilt es nach Administrator-Accounts zu suchen, die niemand gezielt angelegt hat – Wiz nennt dabei auch Beispiele für PoC- oder Misch-Names wie „0xTerror“ sowie Muster wie „svc_…“ oder „labadmin_…“, aber auch unauffälliger wirkende Bezeichnungen. Wer über den Abgleich hinausgehen will, sollte außerdem Plattform-weit Join-Keys rotieren, Access Tokens widerrufen, die seit dem 28. August ausgestellt wurden, und Änderungen an Repositories sowie Konfigurationen systematisch gegen die erwartete Baseline prüfen. Die zentrale Erkenntnis aus der Kette lautet: Sicherheitsteams müssen Token-Handling, Plugin-Installationspfade und Administrationsspuren als zusammenhängendes Modell betrachten – nicht als Einzelbefunde pro CVE.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "JFrog Artifactory: Kette aus zwei CVEs verschafft Adminrechte und Backdoors" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "JFrog Artifactory: Kette aus zwei CVEs verschafft Adminrechte und Backdoors" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »JFrog Artifactory: Kette aus zwei CVEs verschafft Adminrechte und Backdoors« bei Google Deutschland suchen, bei Bing oder Google News!