聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
JForg Artifactory 中存在多个安全漏洞,可导致软件开发管道遭攻陷。
这些漏洞简述如下:
CVE-2023-42509:机密泄露 (CVSS 6.6)。该漏洞存在的原因是 Artifactory 管理仓库配置的方式不当。处理不当的错误可被组合用于泄露敏感数据如凭据或内部系统信息。虽然该漏洞本身并不能立即产生灾难性后果,但可使攻击者获得进一步攻陷防御措施的有价值信息。
CVE-2023-42661:任意文件写(CVSS 7.2)。该漏洞与 Artifactory 的文件处理流程有关。认证攻击者可发送特殊设计的请求,诱骗 Artifactory 编写任意文件,从而可能造成严重后果,如系统崩溃、数据损坏或直接在用户机器上运行恶意代码。
CVE-2023-42662:访问令牌泄露(CVSS 9.3):该漏洞为严重等级的漏洞,可攻陷 Artifactory 的单点登录特性。特殊构造的 web 地址可诱骗用户暴露自己的访问令牌。成功攻击可导致攻击者模拟合法用户并对 Artifactory 环境造成严重损害。
JFrog已修复这些漏洞并提供缓解措施。
代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com
推荐阅读
速修复!TeamCity中存在两个严重的漏洞,可触发供应链攻击
原文链接
https://securityonline.info/jfrog-artifactory-vulnerabilities-patch-now-to-protect-your-software-supply-chain/
题图:Pixabay License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~