JFrog Artifactory 多个漏洞威胁软件供应链安全

DO SON 代码卫士 2024-03-08 14:09

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

JForg Artifactory 中存在多个安全漏洞，可导致软件开发管道遭攻陷。

这些漏洞简述如下：

CVE-2023-42509：机密泄露 (CVSS 6.6)。该漏洞存在的原因是 Artifactory 管理仓库配置的方式不当。处理不当的错误可被组合用于泄露敏感数据如凭据或内部系统信息。虽然该漏洞本身并不能立即产生灾难性后果，但可使攻击者获得进一步攻陷防御措施的有价值信息。
CVE-2023-42661：任意文件写（CVSS 7.2）。该漏洞与 Artifactory 的文件处理流程有关。认证攻击者可发送特殊设计的请求，诱骗 Artifactory 编写任意文件，从而可能造成严重后果，如系统崩溃、数据损坏或直接在用户机器上运行恶意代码。
CVE-2023-42662：访问令牌泄露（CVSS 9.3）：该漏洞为严重等级的漏洞，可攻陷 Artifactory 的单点登录特性。特殊构造的 web 地址可诱骗用户暴露自己的访问令牌。成功攻击可导致攻击者模拟合法用户并对 Artifactory 环境造成严重损害。

JFrog已修复这些漏洞并提供缓解措施。

代码卫士试用地址：
https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

速修复！TeamCity中存在两个严重的漏洞，可触发供应链攻击

原文链接