Злоумышленники связывают уязвимости JFrog Artifactory для захвата админ-доступа и установки бэкдоров
Компания Wiz сообщила о серии атак на самоподдерживаемые серверы JFrog Artifactory, в ходе которых злоумышленники связывали две уязвимости, чтобы получить права администратора и закрепиться в инфраструктуре. Атаки фиксировались с 15 августа по 8 сентября, и им подверглись только те серверы, где не были установлены исправления. Обе уязвимости к тому моменту уже были закрыты разработчиком, что делает своевременное обновление ключевым условием защиты.
Подробности
По данным Wiz, атаки фиксировались в период с 15 августа по 8 сентября. Механизм атаки строился на объединении двух уязвимостей в JFrog Artifactory, что в итоге позволяло захватить административный контроль над уязвимыми серверами и закрепиться в них с помощью бэкдоров. Важное уточнение: обе уязвимости были устранены компанией JFrog до начала наблюдавшихся атак. Это означает, что под удар попадали исключительно те развёртывания, которые не были обновлены до версий с исправлениями. Иными словами, уязвимость носила не столько технический, сколько эксплуатационный характер — окно риска создавали несвоевременно пропатченные установки. Следует отметить, что Wiz не раскрывает в отчёте детали о конкретных версиях, затронутых продуктах или идентификаторах CVE, поэтому при оценке собственной поверхности атаки стоит опираться на официальные рекомендации JFrog и актуальные бюллетени безопасности вендора.Что делать
Приоритетная мера — убедиться, что все самоподдерживаемые инсталляции JFrog Artifactory обновлены до версий, содержащих исправления обеих уязвимостей. Если обновление уже выполнено, стоит проверить, не остались ли в инфраструктуре устаревшие инстансы, которые могли быть пропущены при плановом патчинге. Дополнительно рекомендую: - Провести аудит учётных записей администраторов Artifactory и убедиться, что лишние привилегии отозваны, а для доступа применяются MFA и принцип наименьших привилегий. - Просмотреть логи доступа к серверу за период с 15 августа по 8 сентября и позже — на предмет подозрительных действий, создания новых административных учётных записей, изменения конфигураций или нехарактерного трафика. - Проверить целостность артефактов и репозиториев, особенно если есть основания подозревать компрометацию: наличие бэкдоров означает, что пострадавший сервер мог служить источником заражённых сборок. - Ограничить сетевой доступ к Artifactory, разместив сервер за VPN или в изолированном сегменте, и не выставлять интерфейс управления в публичную сеть. - Убедиться, что соединения защищены с помощью TLS, а учётные данные и токены API хранятся и передаются безопасно. Если в вашей инфраструктуре обнаружены признаки компрометации, стоит инициировать процедуру реагирования на инцидент: изолировать сервер, провести форензику, сменить все связанные с ним секреты и токены, а также уведомить команды, зависящие от данного репозитория. Итог: кейс с JFrog Artifactory наглядно показывает, что уязвимости в инфраструктуре цепочки поставок ПО представляют собой особенно опасный вектор, а своевременное обновление остаётся самой надёжной и при этом самой простой мерой защиты.Источник: The Hacker News