Angreifer nutzen derzeit kritische und hochriskante Schwachstellen in JFrog Artifactory aus, um Authentifizierungsmechanismen zu umgehen, administrative Berechtigungen zu erlangen und eine Rust-basierte Backdoor auf selbst gehosteten Servern zu installieren. Die Angriffskette kombiniert mehrere Sicherheitsl\u00fccken, die Angreifern binnen weniger Minuten die vollst\u00e4ndige Kontrolle \u00fcber betroffene Systeme erm\u00f6glichen. Besonders brisant: Nach Einsch\u00e4tzung von Sicherheitsexperten sind zwischen 49 und 62 Prozent aller erreichbaren Artifactory-Instanzen verwundbar.<\/p>\n
Die Angriffskette basiert auf drei Schwachstellen, die in den vergangenen Wochen publik wurden und nun aktiv in freier Wildbahn ausgenutzt werden. Besonders im Fokus stehen CVE-2026-42018<\/strong> und CVE-2026-42016<\/strong>, die das Cloud-Sicherheitsunternehmen Wiz in einer aktuellen Analyse als Teil einer Exploit-Kette identifizierte. Die dritte L\u00fccke, CVE-2026-82329<\/strong>, wurde bereits Anfang des Monats von der Offensivsicherheitsfirma watchTowr beobachtet und erm\u00f6glichte Angreifern das Erstellen von Administrator-Token.<\/p>\n Im ersten Schritt nutzen Angreifer CVE-2026-42018<\/strong> aus. Diese Schwachstelle erlaubt es, ein JSON Web Token (JWT) zu erlangen, das einem internen anonymen Artifactory-Benutzer zugeordnet ist \u2013 selbst dann, wenn der anonyme Zugriff in der Konfiguration deaktiviert wurde. Das erlangte Token besitzt zun\u00e4chst nur niedrige Privilegien, bildet aber die Grundlage f\u00fcr die weitere Eskalation.<\/p>\n Im zweiten Schritt der Angriffskette kommt CVE-2026-42016<\/strong> zum Einsatz. Diese Schwachstelle beruht auf einer unzureichenden Token-Validierung in der Artifactory-Software. Angreifer k\u00f6nnen das zuvor erlangte JWT des anonymen Benutzers gegen ein Token mit administrativen Rechten austauschen. Die Forscher von Wiz dokumentierten, dass dieser Vorgang in einigen F\u00e4llen weniger als f\u00fcnf Minuten dauerte \u2013 vom ersten Ausnutzen der L\u00fccke bis zur Erstellung eines vollwertigen Administrator-Kontos.<\/p>\n Nachdem die Angreifer administrative Konten angelegt und langlebige Zugriffstokens generiert hatten, installierten sie b\u00f6sartige Groovy-Plugins. Diese Plugins dienten dazu, beliebige Befehle auf dem betroffenen Artifactory-Server auszuf\u00fchren. In der Folge etablierten die Angreifer eine persistente Hintert\u00fcr, indem sie eine Rust-basierte Backdoor<\/strong> mit Command-and-Control-F\u00e4higkeiten (C2) auf den Systemen ablegten.<\/p>\n Die Beobachtungen von Wiz zwischen dem 15. August und dem 8. September zeigen ein mehrstufiges Vorgehen: In der n\u00e4chsten Phase luden die Angreifer zus\u00e4tzliche Payloads in die Verzeichnisse \/dev\/shm<\/em>, \/tmp<\/em> und \/var\/tmp<\/em> herunter. Sie installierten Webshells, entwendeten Artifactory-Konfigurationsdaten und Cluster-Join-Keys, durchsuchten Repositorys, Tokens und Benutzerkonten und f\u00fcgten ihre eigenen SSH-Schl\u00fcssel zu neu angelegten Accounts hinzu.<\/p>\n Systemadministratoren sollten umgehend pr\u00fcfen, ob ihre Artifactory-Instanzen den Angriffen ausgesetzt waren. Wichtige Indikatoren f\u00fcr eine Kompromittierung sind unerwartete Token-Erstellungen, nicht autorisierte Administrator-Konten, verd\u00e4chtige Plugin-Aktivit\u00e4ten sowie auff\u00e4llige Enumeration-Requests. Wiz hat zudem eine Liste mit Indikatoren der Kompromittierung (Indicators of Compromise, IoCs) ver\u00f6ffentlicht, die eine schnelle Erkennung erleichtern.<\/p>\n JFrog hat mehrere Patch-Versionen ver\u00f6ffentlicht, die die genannten Schwachstellen schlie\u00dfen. Betroffene Systeme sollten umgehend auf eine der folgenden Versionen oder neuer aktualisiert werden:<\/p>\n Nach dem Update sollten Administratoren internetexponierte Instanzen genau untersuchen. Dar\u00fcber hinaus ist es ratsam, den Zugriff auf vertrauensw\u00fcrdige Systeme zu beschr\u00e4nken und die Netzwerksegmentierung zu \u00fcberpr\u00fcfen.<\/p>\n Die Kombination aus Authentifizierungsumgehung und Privilege Escalation macht diese Angriffskette zu einer ernstzunehmenden Bedrohung f\u00fcr Unternehmen, die JFrog Artifactory in selbst gehosteten Umgebungen betreiben. Artifactory dient als zentrales Repository f\u00fcr Bin\u00e4rdateien, Container-Images und Abh\u00e4ngigkeiten \u2013 eine Kompromittierung kann daher weitreichende Auswirkungen auf die gesamte Software-Lieferkette haben. Die Angreifer nutzen nicht nur die initialen L\u00fccken, sondern etablieren durch die Rust-Backdoor eine dauerhafte Pr\u00e4senz, die auch nach einem Neustart oder Teil-Updates bestehen bleiben kann.<\/p>\n Die Tatsache, dass mehrere Akteure parallel dieselbe Exploit-Kette verwendeten, deutet auf eine breite Verf\u00fcgbarkeit von Exploit-Code hin. Unternehmen, die ihre Artifactory-Instanzen noch nicht aktualisiert haben, sollten dies als kritischen Sicherheitsvorfall behandeln. Die n\u00e4chsten Schritte umfassen nicht nur das Einspielen der Patches, sondern auch eine forensische Untersuchung der Systeme auf Anzeichen einer bereits erfolgten Kompromittierung. In einer Zeit, in der Angreifer immer schneller Schwachstellen ausnutzen, ist die Kombination aus zeitnahem Patch-Management<\/a>, kontinuierlichem Monitoring und der Minimierung der Angriffsfl\u00e4che der wirksamste Schutz.<\/p>\n","protected":false},"excerpt":{"rendered":" Angreifer nutzen derzeit kritische und hochriskante Schwachstellen in JFrog Artifactory aus, um Authentifizierungsmechanismen zu umgehen, administrative Berechtigungen zu erlangen und eine Rust-basierte Backdoor auf selbst gehosteten Servern zu installieren. Die Angriffskette kombiniert mehrere Sicherheitsl\u00fccken, die Angreifern binnen weniger Minuten die vollst\u00e4ndige Kontrolle \u00fcber betroffene Systeme erm\u00f6glichen. Besonders brisant: Nach Einsch\u00e4tzung von Sicherheitsexperten sind zwischen 49 […]<\/p>\n","protected":false},"author":5,"featured_media":54199,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/52202.png","fifu_image_alt":"Angreifer nutzen JFrog-Artifactory-L\u00fccken und installieren Rust-Backdoor","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-52202","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/52202.png","fifu_image_alt":"Angreifer nutzen JFrog-Artifactory-L\u00fccken und installieren Rust-Backdoor","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/52202","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=52202"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/52202\/revisions"}],"predecessor-version":[{"id":52204,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/52202\/revisions\/52204"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54199"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=52202"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=52202"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=52202"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Authentifizierungsumgehung \u00fcber anonymen Benutzer<\/h3>\n
Privilege Escalation auf Administratorebene<\/h3>\n
Ablauf der Angriffskette und eingesetzte Malware<\/h2>\n
Indikatoren f\u00fcr eine Kompromittierung und Schutzma\u00dfnahmen<\/h2>\n
Empfohlene Versionen f\u00fcr das Update<\/h3>\n
\n
Warum diese Angriffswelle besonders gef\u00e4hrlich ist<\/h2>\n