Ein schwerwiegender Sicherheitsvorfall bei JetBrains hat die Verwundbarkeit selbst der Entwickler von Entwicklertools eindrucksvoll demonstriert. Über eine kritische, aber ungepatchte Sicherheitslücke in TeamCity gelang es unbekannten Angreifern, in die Infrastruktur des Cadence-Cloud-Dienstes einzudringen und sensible AWS-Zugangsdaten zu entwenden. Die betroffenen Nutzer stehen nun vor der umfassenden Aufgabe, sämtliche Berechtigungen und Geheimnisse zu rotieren.
Die Angriffskette: Eine ungepatchte TeamCity-Lücke als Einfallstor
Als Einstiegspunkt diente die Schwachstelle CVE-2026-63077, die mit einem CVSS-Score von 9,8 als kritisch eingestuft ist. Dabei handelt es sich um eine Deserialisierung nicht vertrauenswürdiger Daten, die es einem nicht authentifizierten Angreifer mit Zugriff auf einen TeamCity-Server erlaubt, Authentifizierungsprüfungen zu umgehen und beliebige Betriebssystembefehle mit den Rechten des Serverprozesses auszuführen. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hatte die Schwachstelle am 5. August 2026 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, nachdem erste Angriffe im Internet registriert worden waren. JetBrains selbst entdeckte die Ausnutzung der Lücke in der eigenen Umgebung erst am 23. August 2026.
Der zeitliche Ablauf der Kompromittierung
Die Angreifer hatten zwischen dem 8. und 24. August 2026 Zugriff auf den betroffenen Cadence-Server (api.cadence.jetbrains.comcodecodecodecodecode). JetBrains räumte ein, dass dieser Server im Rahmen der eigenen Schwachstellenbekämpfung hätte gepatcht werden müssen, machte jedoch keine Angaben dazu, warum dies unterblieb. Der Server wurde inzwischen vom Netz genommen. Besonders schwer wiegt, dass die Täter auf ein vollständiges Backup des Cadence-Servers aus dem Jahr 2024 zugreifen konnten. Darin enthalten waren nicht nur Konfigurationsdaten und Logs, sondern auch Anmeldedaten und Geheimnisse.
Welche Daten und Systeme sind konkret betroffen?
Die Angreifer haben nachweislich auf eine Reihe sensibler Informationen zugegriffen. Dies beinhaltet personenbezogene Daten wie Benutzernamen, Echtnamen, E-Mail-Adressen, Zeitstempel der letzten Anmeldung und die zuletzt verwendeten IP-Adressen. Darüber hinaus extrahierten sie aus dem Backup von 2024 mehrere AWS-IAM-Benutzer und die dazugehörigen Zugangsdaten, darunter auch IAM-User von JetBrains-Mitarbeitern, die den Dienst genutzt hatten. Die Täter erlangten zudem Zugriff auf Dateien in S3-Buckets innerhalb der JetBrains-AWS-Konten, die von Cadence genutzt wurden.
Risiken für Quellcode und Entwicklungsprojekte
Eine besondere Gefahr besteht für Nutzer, die PyCharm verwendeten, um Projektdateien für die Ausführung in Cadence zu synchronisieren. JetBrains warnt, dass die Angreifer auf diesen synchronisierten Quellcode zugreifen konnten. Dies könnte dazu geführt haben, dass vertraulicher Code, darin eingebettete Anmeldeinformationen oder Konfigurationsdateien offengelegt wurden. Alle Ausführungen, einschließlich ihrer Ein- und Ausgaben in einem Cadence-Projekt, müssen als potenziell kompromittiert betrachtet werden.
Die unmittelbare Gefahr: Missbrauch der gestohlenen AWS-Zugangsdaten
Der Diebstahl der AWS-IAM-Zugangsdaten ist der kritischste Aspekt des Vorfalls. Da die Angreifer über diese Schlüssel verfügen, könnten sie nicht nur auf die Cadence-spezifischen S3-Buckets zugreifen, sondern potenziell auch laterale Bewegungen in der AWS-Infrastruktur von JetBrains durchführen. Die Gefahr umfasst die unbefugte Erstellung neuer Ressourcen, die Manipulation von Daten oder die Nutzung der Rechenleistung für kriminelle Aktivitäten wie Kryptomining. Betroffene Nutzer müssen daher nicht nur ihre Cadence-Zugänge, sondern insbesondere alle mit AWS verbundenen Schlüssel sofort rotieren.
Indikatoren für eine Kompromittierung und Gegenmaßnahmen
JetBrains hat eine Reihe von Indikatoren für eine Kompromittierung (Indicators of Compromise, IoCs) veröffentlicht. Administratoren und betroffene Entwickler sollten ihre Systeme auf folgende Anomalien überprüfen:
- Aktivitäten seit dem 8. August 2026: Insbesondere Authentifizierungen oder Aktionen, die Credentials verwenden, die zuvor in Cadence gespeichert oder darüber zugänglich waren.
- Verdächtige IP-Adressen: Die folgenden IPs wurden mit der Ausnutzung der Sicherheitslücke in Verbindung gebracht:
- 150.109.230.104
- 43.153.227.206
- 62.210.127.48
- 210.247.242.190
- 15.235.225.205
- 152.233.30.18
- Ungewöhnliche Repository-Aktivitäten: Unerwartete Klone, Downloads oder Commits in Quellcode-Repositories. Achten Sie auch auf Änderungen an Repository-Geheimnissen, Webhooks, Mitarbeitern oder Berechtigungen.
- Manipulation von Zugangstoken: Neu erstellte oder modifizierte persönliche Zugangstoken, API-Token oder SSH-Schlüssel in externen Diensten.
- Cloud-spezifische Anomalien: Neue Dienstkonten in externen Diensten, unerwartete Änderungen an IAM-Rollen und -Richtlinien in der Cloud sowie unerklärliche Zugriffe auf Cloud-Speicher wie S3-Buckets.
- Ungewollte Publikationen: Unerwartete Veröffentlichungen oder Änderungen von Paketen oder Releases.
Der wahrscheinlichste Folgeschaden des Datenlecks ist ein erhöhtes Risiko für gezielte Phishing-Angriffe, Social Engineering und Identitätsdiebstahl, da die Angreifer über Namen und E-Mail-Adressen verfügen.
Handlungsanweisungen für betroffene Cadence-Nutzer
Neben der sofortigen Rotation aller Zugangsdaten und Geheimnisse, die in Cadence verwendet wurden, sollten betroffene Systeme gründlich überprüft werden. Dazu gehören AWS-Konten, S3-Buckets, Bereitstellungsumgebungen, Paket- und Container-Registries sowie alle anderen Systeme, die mit den widerrufenen Anmeldeinformationen erreichbar sind. Eine forensische Prüfung der Quellcode-Repositories auf nicht autorisierte Änderungen im Zeitraum zwischen dem 8. und 24. August ist dringend anzuraten.
Was ist Cadence und warum ist der Vorfall so schwerwiegend?
Cadence ist ein von JetBrains gehosteter Cloud-Computing-Dienst, der sich nahtlos in die Entwicklungsumgebung PyCharm integriert. Entwickler nutzen ihn, um ressourcenintensive Aufgaben wie das Training von Machine-Learning-Modellen auf Cloud-GPUs direkt aus der IDE auszuführen. Durch die tiefe Integration in den Entwicklungs-Workflow und die Speicherung von AWS-Zugangsdaten zur Nutzung von Cloud-Ressourcen wurde dieser Dienst zu einem zentralen und besonders gefährdeten Ziel.
JetBrains hat als Reaktion auf den Vorfall alle Zugangstoken des Cadence-Plugins in PyCharm ungültig gemacht. Der Vorfall unterstreicht jedoch ein grundlegendes Problem in der Cybersicherheit: Dass selbst Unternehmen, die Sicherheitswerkzeuge für andere entwickeln, anfällig für die Nichtbeachtung der eigenen Sicherheitsupdates sind. Der Vorfall wird als Weckruf für die gesamte Entwickler-Community gewertet, die eigene Sicherheitshygiene kritisch zu hinterfragen und insbesondere die rechtzeitige Implementierung von Patches für sicherheitskritische Infrastruktur wie CI/CD-Server zu automatisieren.
