Betroffene Einrichtungen
Bereich
JFrog Artifactory weist eine kritische Schwachstelle in der Authentifizierungslogik auf, die es einem unauthentifizierten Angreifer mit Netzwerkzugang ermöglicht, unter der Standardkonfiguration administrative Rechte zu erlangen. Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung des Artefakt-Repositorys führen, einschließlich der Manipulation oder Exfiltration gespeicherter Software-Pakete, Bibliotheken und Build-Artefakte. In Gesundheitseinrichtungen wird JFrog Artifactory typischerweise in der internen Softwareentwicklung und im Betrieb von DevOps-Pipelines eingesetzt, etwa zur Verwaltung klinischer Softwarekomponenten oder Integrationsmodule für KIS- und LIS-Systeme; eine Kompromittierung kann dort zur Einschleusung schadhafter Komponenten in medizinische Anwendungen führen. Aufgrund der aktiven Ausnutzung (CISA KEV) ist sofortiges Handeln durch Härtung der Konfiguration und Netzwerkisolierung dringend geboten.
1 Authentifizierungskonfiguration in JFrog Artifactory sofort prüfen und sicherstellen, dass die Standardkonfiguration überschrieben ist – insbesondere den anonymen Zugriff ('security.allowAnonAccess') in der Konfigurationsdatei 'artifactory.config.xml' explizit deaktivieren.
2. Netzwerkzugang zu Artifactory-Instanzen umgehend auf autorisierte Systeme und Nutzer beschränken (Firewall-Regeln, VLAN-Segmentierung), sodass kein unauthentifizierter Zugriff aus dem Krankenhausnetz möglich ist.
3. Audit-Logs der Artifactory-Instanz auf unberechtigte Zugriffe oder administrative Aktionen in der Vergangenheit prüfen und Kompromittierungsindikatoren (z.B. neue Admin-Accounts, geänderte Repositories) untersuchen.
4. Offizielle Patches und Sicherheitsupdates von JFrog einspielen sowie die JFrog-Sicherheitsadvisories auf konkrete Versionsempfehlungen hin überwachen und betroffene Versionen unverzüglich aktualisieren.
5. Vorfall gemäß internem Meldeprozess dokumentieren und bei KRITIS-relevanten Einrichtungen eine mögliche Meldepflicht beim BSI prüfen, sofern eine aktive Ausnutzung festgestellt wurde.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja