{"id":51366,"date":"2026-09-06T10:36:45","date_gmt":"2026-09-06T08:36:45","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51366"},"modified":"2026-09-06T10:36:45","modified_gmt":"2026-09-06T08:36:45","slug":"jetbrains-cadence-datenleck-51366","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/jetbrains-cadence-datenleck-51366\/","title":{"rendered":"Hacker stehlen AWS-Zugangsdaten aus JetBrains Cadence via ungepatchtes TeamCity"},"content":{"rendered":"

Ein schwerwiegender Sicherheitsvorfall bei JetBrains<\/a> hat die Verwundbarkeit selbst der Entwickler von Entwicklertools eindrucksvoll demonstriert. \u00dcber eine kritische, aber ungepatchte Sicherheitsl\u00fccke in TeamCity gelang es unbekannten Angreifern, in die Infrastruktur des Cadence-Cloud-Dienstes einzudringen und sensible AWS-Zugangsdaten zu entwenden. Die betroffenen Nutzer stehen nun vor der umfassenden Aufgabe, s\u00e4mtliche Berechtigungen und Geheimnisse zu rotieren.<\/p>\n

Die Angriffskette: Eine ungepatchte TeamCity-L\u00fccke als Einfallstor<\/h2>\n

Als Einstiegspunkt diente die Schwachstelle CVE-2026-63077, die mit einem CVSS-Score von 9,8 als kritisch eingestuft ist. Dabei handelt es sich um eine Deserialisierung nicht vertrauensw\u00fcrdiger Daten, die es einem nicht authentifizierten Angreifer mit Zugriff auf einen TeamCity-Server erlaubt, Authentifizierungspr\u00fcfungen zu umgehen und beliebige Betriebssystembefehle mit den Rechten des Serverprozesses auszuf\u00fchren. Die US-Beh\u00f6rde f\u00fcr Cybersicherheit und Infrastruktursicherheit (CISA<\/a>) hatte die Schwachstelle am 5. August 2026<\/a> in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, nachdem erste Angriffe im Internet registriert worden waren. JetBrains selbst entdeckte die Ausnutzung der L\u00fccke in der eigenen Umgebung erst am 23. August<\/a> 2026.<\/p>\n

Der zeitliche Ablauf der Kompromittierung<\/h3>\n

Die Angreifer hatten zwischen dem 8. und 24. August 2026 Zugriff auf den betroffenen Cadence-Server (api.cadence.jetbrains.com<\/code>codecodecodecodecode). JetBrains r\u00e4umte ein, dass dieser Server im Rahmen der eigenen Schwachstellenbek\u00e4mpfung h\u00e4tte gepatcht werden m\u00fcssen, machte jedoch keine Angaben dazu, warum dies unterblieb. Der Server wurde inzwischen vom Netz genommen. Besonders schwer wiegt, dass die T\u00e4ter auf ein vollst\u00e4ndiges Backup des Cadence-Servers aus dem Jahr 2024 zugreifen konnten. Darin enthalten waren nicht nur Konfigurationsdaten und Logs, sondern auch Anmeldedaten und Geheimnisse.<\/p>\n

Welche Daten und Systeme sind konkret betroffen?<\/h2>\n

Die Angreifer haben nachweislich auf eine Reihe sensibler Informationen zugegriffen. Dies beinhaltet personenbezogene Daten wie Benutzernamen, Echtnamen, E-Mail-Adressen, Zeitstempel der letzten Anmeldung und die zuletzt verwendeten IP-Adressen. Dar\u00fcber hinaus extrahierten sie aus dem Backup von 2024 mehrere AWS-IAM-Benutzer und die dazugeh\u00f6rigen Zugangsdaten, darunter auch IAM-User von JetBrains-Mitarbeitern, die den Dienst genutzt hatten. Die T\u00e4ter erlangten zudem Zugriff auf Dateien in S3-Buckets innerhalb der JetBrains-AWS-Konten, die von Cadence genutzt wurden.<\/p>\n

Risiken f\u00fcr Quellcode und Entwicklungsprojekte<\/h3>\n

Eine besondere Gefahr besteht f\u00fcr Nutzer, die PyCharm verwendeten, um Projektdateien f\u00fcr die Ausf\u00fchrung in Cadence zu synchronisieren. JetBrains warnt, dass die Angreifer auf diesen synchronisierten Quellcode zugreifen konnten. Dies k\u00f6nnte dazu gef\u00fchrt haben, dass vertraulicher Code, darin eingebettete Anmeldeinformationen oder Konfigurationsdateien offengelegt wurden. Alle Ausf\u00fchrungen, einschlie\u00dflich ihrer Ein- und Ausgaben in einem Cadence-Projekt, m\u00fcssen als potenziell kompromittiert betrachtet werden.<\/p>\n

Die unmittelbare Gefahr: Missbrauch der gestohlenen AWS-Zugangsdaten<\/h2>\n

Der Diebstahl der AWS-IAM-Zugangsdaten ist der kritischste Aspekt des Vorfalls. Da die Angreifer \u00fcber diese Schl\u00fcssel verf\u00fcgen, k\u00f6nnten sie nicht nur auf die Cadence-spezifischen S3-Buckets zugreifen, sondern potenziell auch laterale Bewegungen in der AWS-Infrastruktur von JetBrains durchf\u00fchren. Die Gefahr umfasst die unbefugte Erstellung neuer Ressourcen, die Manipulation von Daten oder die Nutzung der Rechenleistung f\u00fcr kriminelle Aktivit\u00e4ten wie Kryptomining. Betroffene Nutzer m\u00fcssen daher nicht nur ihre Cadence-Zug\u00e4nge, sondern insbesondere alle mit AWS verbundenen Schl\u00fcssel sofort rotieren.<\/p>\n

Indikatoren f\u00fcr eine Kompromittierung und Gegenma\u00dfnahmen<\/h2>\n

JetBrains hat eine Reihe von Indikatoren f\u00fcr eine Kompromittierung (Indicators of Compromise, IoCs) ver\u00f6ffentlicht. Administratoren und betroffene Entwickler sollten ihre Systeme auf folgende Anomalien \u00fcberpr\u00fcfen:<\/p>\n