JFrog Artifactory 多个漏洞威胁软件供应链安全
2024-3-8 14:8:36 Author: mp.weixin.qq.com(查看原文) 阅读量:8 收藏

 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士

JForg Artifactory 中存在多个安全漏洞,可导致软件开发管道遭攻陷。

这些漏洞简述如下:

  • CVE-2023-42509:机密泄露 (CVSS 6.6)。该漏洞存在的原因是 Artifactory 管理仓库配置的方式不当。处理不当的错误可被组合用于泄露敏感数据如凭据或内部系统信息。虽然该漏洞本身并不能立即产生灾难性后果,但可使攻击者获得进一步攻陷防御措施的有价值信息。

  • CVE-2023-42661:任意文件写(CVSS 7.2)。该漏洞与 Artifactory 的文件处理流程有关。认证攻击者可发送特殊设计的请求,诱骗 Artifactory 编写任意文件,从而可能造成严重后果,如系统崩溃、数据损坏或直接在用户机器上运行恶意代码。

  • CVE-2023-42662:访问令牌泄露(CVSS 9.3):该漏洞为严重等级的漏洞,可攻陷 Artifactory 的单点登录特性。特殊构造的 web 地址可诱骗用户暴露自己的访问令牌。成功攻击可导致攻击者模拟合法用户并对 Artifactory 环境造成严重损害。

JFrog已修复这些漏洞并提供缓解措施。

代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com

推荐阅读

速修复!TeamCity中存在两个严重的漏洞,可触发供应链攻击

谷歌修复代码测试工具Bazel 中的严重供应链漏洞

全球软件供应链安全指南和法规概览

TensorFlow CI/CD 漏洞使供应链易遭投毒攻击

软件供应链投毒 — NPM 恶意组件分析

原文链接
https://securityonline.info/jfrog-artifactory-vulnerabilities-patch-now-to-protect-your-software-supply-chain/

题图:Pixabay License

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错,就点个 “在看” 或 "” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247519025&idx=2&sn=9f5aa3afc5e6ee3f439bd94c36a8f2ce&chksm=ea94ba5bdde3334dbbb580cbb52dc01d9b7a0de98233c5e79d4a4bf0758bdf9bec08800e86fb&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh