Vulnerabilidades de Artifactory encadenadas en ataques que instalan malware con puerta trasera

Cier­tos ata­can­tes están apro­ve­chan­do vul­ne­ra­bi­li­da­des de gra­ve­dad alta y crí­ti­ca en los ser­vi­do­res lo­ca­les de JFrog Ar­ti­fac­tory para elu­dir los con­tro­les de ac­ce­so, con­se­guir per­mi­sos de ad­mi­nis­tra­dor e ins­ta­lar un pro­gra­ma ma­li­cio­so tipo "back­door" de­sa­rro­lla­do en Rust. Di­ver­sas cam­pa­ñas han com­bi­na­do fa­llos es­pe­cí­fi­cos como parte de una ca­de­na de ex­plo­ta­ción, lo­gran­do ge­ne­rar to­kens de ad­mi­nis­tra­dor en cues­tión de mi­nu­tos y com­pro­me­ter múl­ti­ples en­tor­nos en ser­vi­do­res ex­pues­tos.

El pro­ce­so lle­va­do a cabo por los agre­so­res in­clu­ye la ob­ten­ción ini­cial de un token web de JSON co­rres­pon­dien­te a un usua­rio anó­ni­mo in­terno, apro­ve­chan­do una de las fa­llas aun cuan­do el ac­ce­so anó­ni­mo esté des­ac­ti­va­do. Pos­te­rior­men­te, ele­van di­chos pri­vi­le­gios a un nivel ad­mi­nis­tra­ti­vo de­bi­do a una va­li­da­ción in­su­fi­cien­te en los to­kens. Una vez den­tro con pri­vi­le­gios de ad­mi­nis­tra­ción, los ata­can­tes ins­ta­lan com­ple­men­tos ma­li­cio­sos, des­car­gan car­gas úti­les adi­cio­na­les, des­plie­gan "webshells", roban datos de con­fi­gu­ra­ción y cla­ves, y aña­den lla­ves SSH a cuen­tas de nueva crea­ción.

De­bi­do a que un por­cen­ta­je sig­ni­fi­ca­ti­vo de las ins­tan­cias ac­ce­si­bles se en­cuen­tra en ries­go ante al menos uno de los de­fec­tos men­cio­na­dos, los ex­per­tos acon­se­jan ac­tua­li­zar de in­me­dia­to a ver­sio­nes pos­te­rio­res es­pe­cí­fi­cas del soft­wa­re. Asi­mis­mo, los ad­mi­nis­tra­do­res deben re­vi­sar si exis­ten cuen­tas de ad­mi­nis­tra­dor no au­to­ri­za­das, to­kens inusua­les, so­li­ci­tu­des de enu­me­ra­ción o ac­ti­vi­dad sos­pe­cho­sa en los plu­gins, y res­trin­gir el ac­ce­so úni­ca­men­te a sis­te­mas de con­fian­za.