Los atacantes aprovechan una serie de vulnerabilidades de JFrog Artifactory para obtener control de administrador e instalar puertas traseras

Una em­pre­sa de se­gu­ri­dad en la nube in­for­mó que se han de­tec­ta­do ata­ques di­ri­gi­dos a ser­vi­do­res au­to­alo­ja­dos de una pla­ta­for­ma de re­po­si­to­rios de soft­wa­re, en­ca­de­nan­do dos vul­ne­ra­bi­li­da­des dis­tin­tas para lo­grar el con­trol ad­mi­nis­tra­ti­vo de los sis­te­mas y co­lo­car puer­tas tra­se­ras. Nin­guno de estos dos fa­llos otor­ga con­trol de ad­mi­nis­tra­dor por sí solo, pero el pri­mer pro­ble­ma en­tre­ga un token in­terno de usua­rio anó­ni­mo a quien rea­li­za una lla­ma­da sin au­ten­ti­car, mien­tras que el se­gun­do per­mi­te in­ter­cam­biar dicho token por uno con per­mi­sos de ad­mi­nis­tra­dor de­bi­do a una de­fi­cien­cia en la va­li­da­ción de sus ca­pa­ci­da­des per­mi­ti­das.

Los in­ci­den­tes ob­ser­va­dos mos­tra­ron que estas ac­cio­nes de­ja­ban re­gis­tros bajo el usua­rio anó­ni­mo y que, en cier­tas oca­sio­nes, el pro­ce­so com­ple­to desde la so­li­ci­tud ini­cial hasta la crea­ción de una cuen­ta de ad­mi­nis­tra­dor to­ma­ba menos de cinco mi­nu­tos. Con esta au­to­ri­dad, los ata­can­tes rea­li­za­ron di­ver­sas ac­ti­vi­da­des que in­clu­ye­ron la crea­ción de cuen­tas de ad­mi­nis­tra­dor per­sis­ten­tes, la ins­ta­la­ción de com­ple­men­tos ma­li­cio­sos para la eje­cu­ción de có­di­go, el uso de co­man­dos de shell y la des­car­ga de bi­na­rios para abrir ca­na­les de co­man­do y con­trol, ade­más de em­plear una puer­ta tra­se­ra per­so­na­li­za­da.

Adi­cio­nal­men­te, se iden­ti­fi­có un ter­cer fallo de elu­sión de au­ten­ti­ca­ción en la misma pla­ta­for­ma, el cual fue ex­plo­ta­do de ma­ne­ra in­de­pen­dien­te y de forma ma­si­va tras la apa­ri­ción de un ex­ploit pú­bli­co y re­por­tes de in­ten­tos de ex­plo­ta­ción en redes de en­tre­ga de con­te­ni­do. Este pro­ble­ma crí­ti­co per­mi­te a un ata­can­te no au­ten­ti­ca­do ob­te­ner pri­vi­le­gios ad­mi­nis­tra­ti­vos por sí solo y pro­vo­có que las au­to­ri­da­des agre­ga­ran la vul­ne­ra­bi­li­dad a su ca­tá­lo­go de ex­plo­ta­das, es­ta­ble­cien­do pla­zos para su mi­ti­ga­ción.