Artifactory

Betroffen ist die selbst betriebene Variante der Repository-Verwaltung JFrog Artifactory. Der Fehler liegt in der Berechtigungsprüfung von Zugriffstoken: Die Anwendung prüft zwar, ob die Signatur beziehungsweise der Aussteller eines Tokens gültig ist, kontrolliert aber nicht den im Token hinterlegten Geltungsbereich (Scope). Damit wird ein Token, das eigentlich nur eng begrenzte Rechte einräumen soll, wie ein umfassend berechtigtes Token behandelt. Ein Angreifer, der über ein gültiges, aber stark eingeschränktes Token verfügt, kann dadurch seine Rechte ausweiten und auf Funktionen und Inhalte zugreifen, die ihm nicht zustehen. Da Artifactory als zentrale Ablage für Software-Pakete, Container-Images und Build-Artefakte dient, wiegt eine solche Rechteausweitung besonders schwer: Angreifer könnten dort abgelegte Artefakte lesen oder manipulieren und so nachgelagerte Bau- und Auslieferungsprozesse der Softwarelieferkette beeinflussen.