聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
缓存投毒是一种复杂攻击,即恶意人员操纵软件工件的缓存版本。当开发人员或自动化系统从仓库中提取工件时,他们会毫无察觉地接收到被篡改版本,在软件中引入漏洞或后门,从而造成深远影响、攻陷应用并可能导致数据泄露或系统接管等。
该漏洞影响大量 JFrog Artifactory 版本,包括用于自托管和云环境中的版本:
自托管 Artifactory 用户应立即应用安全补丁。JFrog 已更新云实例,混合部署的客户即Edge 节点依赖于本地版本则需更新 Edge 实例。
作为针对自托管用户的临时缓解措施,JFrog 建议禁用匿名访问权限或删除 Anonymous 账户远程仓库的部署/缓存权限。JFrog 对GitHub 安全实验室的研究员 Michael Stepankin 发现并负责任地披露该漏洞表示感谢。
SAP AI Core中严重的 “SAPwned” 缺陷可引发供应链攻击
https://securityonline.info/cve-2024-6915-cvss-9-3-jfrog-artifactory-flaw-exposes-software-supply-chains-to-cache-poisoning/
题图:Pixabay License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~