Security · 11.9.2026
Angreifer kombinieren mehrere Schwachstellen in JFrog Artifactory, um Administrationsrechte zu erlangen und eine in Rust geschriebene Backdoor auf Servern zu installieren.
Sicherheitsforscher warnen vor aktiven Angriffen auf selbst gehostete Instanzen der Repository-Management-Software JFrog Artifactory. Angreifer kombinieren dabei mehrere bekannte Schwachstellen, um die Authentifizierung zu umgehen, administrative Rechte zu erlangen und schließlich eine Schadsoftware zu installieren. Bei dieser Payload handelt es sich um eine in der Programmiersprache Rust geschriebene Backdoor, die den Angreifern dauerhaften und unbemerkt bleibenden Zugriff auf die betroffenen Linux- und Windows-Server ermöglicht.
JFrog Artifactory ist in vielen DevOps- und Softwareentwicklungsumgebungen im DACH-Raum ein zentraler Baustein für das Management von Bibliotheken, Binärdateien und Abhängigkeiten. Da diese Server oft tief in die interne Build-Infrastruktur integriert sind, stellt eine erfolgreiche Kompromittierung ein kritisches Sicherheitsrisiko für das gesamte Unternehmensnetzwerk dar. Angreifer können über die installierte Rust-Backdoor nicht nur vertrauliche Quellcodes und proprietäre Algorithmen ausleiten, sondern im schlimmsten Fall auch Schadcode direkt in die eigene Software-Lieferkette einschleusen. Solche Supply-Chain-Angriffe gefährden nicht nur das betroffene Unternehmen selbst, sondern können auch dessen Kunden und Partner direkt schädigen.
Verantwortliche IT-Sicherheitsbeauftragte und Systemadministratoren sollten unverzüglich prüfen, ob die eingesetzten selbst gehosteten JFrog-Artifactory-Instanzen auf dem aktuellen und sicheren Patch-Stand sind. JFrog hat bereits entsprechende Sicherheitsupdates zur Verfügung gestellt, welche die ausgenutzten Schwachstellen effektiv schließen. Das Einspielen dieser Patches sollte mit hoher Priorität durchgeführt werden. Darüber hinaus empfiehlt es sich, die lokalen Systemprotokolle auf verdächtige Indikatoren zu untersuchen. Hierzu gehören unerwartete Änderungen an administrativen Konten, die Ausführung unbekannter Binärdateien im Systemverzeichnis sowie ungewöhnliche ausgehende Netzwerkverbindungen. Bei einem begründeten Verdacht auf eine Kompromittierung müssen die betroffenen Server sofort isoliert und alle darauf hinterlegten API-Schlüssel, Zertifikate und Zugangsdaten umgehend ungültig gemacht und neu generiert werden.
Die Angriffskette verdeutlicht, dass Entwicklungs- und Build-Server ein lohnendes Ziel für professionelle Akteure darstellen. Nur durch ein konsequentes Schwachstellenmanagement und das zeitnahe Einspielen von Sicherheitsupdates lassen sich solche weitreichenden Einbrüche in die IT-Infrastruktur verhindern.
Quelle: BleepingComputer