Segnalate vulnerabilità di JFrog Artifactory sfruttate, con correzioni disponibili

I team di sicurezza che utilizzano JFrog Artifactory sono stati invitati a verificare lo stato delle patch dopo le segnalazioni secondo cui gli aggressori starebbero prendendo di mira ulteriori vulnerabilità del software.

Il rapporto disponibile afferma che sono coinvolte tre falle di Artifactory e che sono stati rilasciati aggiornamenti che le risolvono tutte. Non identifica le versioni interessate, gli identificatori CVE, i metodi di sfruttamento o le organizzazioni coinvolte nell'attività segnalata.

Applicazione delle patch e revisione dell'esposizione

Artifactory viene comunemente utilizzato per archiviare, gestire e distribuire pacchetti software e artefatti di build. Poiché può essere integrato nei flussi di lavoro di sviluppo e distribuzione, una compromissione può creare rischi che vanno oltre il server interessato, incluso l'accesso non autorizzato a codice proprietario, dipendenze di build, credenziali o pipeline di rilascio.

Le organizzazioni dovrebbero consultare gli avvisi di sicurezza e le note di rilascio dei prodotti di JFrog per stabilire se l'edizione e la versione distribuite sono interessate. I team dovrebbero applicare le correzioni fornite dal fornitore non appena il processo di gestione delle modifiche lo consente, dando priorità alle istanze esposte a Internet e ai sistemi connessi ad ambienti di sviluppo sensibili.

Misure difensive consigliate

• Inventariare le distribuzioni di Artifactory, inclusi gli ambienti self-hosted, di test e legacy.
• Verificare che tutte le istanze eseguano versioni che includono le correzioni di sicurezza pertinenti.
• Limitare le interfacce amministrative e l'accesso ai repository a reti attendibili e utenti autenticati.
• Esaminare i log alla ricerca di azioni amministrative insolite, nuovi account, download imprevisti dai repository e modifiche ai token di accesso o alle autorizzazioni.
• Ruotare le credenziali e i token potenzialmente esposti se viene identificata attività sospetta.

Qualora non fosse possibile applicare immediatamente le patch, le organizzazioni dovrebbero ridurre l'esposizione esterna, limitare gli accessi privilegiati e aumentare il monitoraggio, predisponendo al contempo un piano di aggiornamento accelerato. I team di sicurezza dovrebbero fare affidamento sulle indicazioni del fornitore per l'ambito preciso e i requisiti di correzione delle tre problematiche segnalate.