CVE-2026-66384: aktiv ausgenutzte Schwachstelle in JFrog Artifactory

CVE-2026-66384: aktiv ausgenutzte Schwachstelle in JFrog Artifactory

In Kürze

CVE-2026-66384 ist eine Path-Traversal-Schwachstelle in JFrog Artifactory, die es einem bereits authentifizierten Benutzer unter bestimmten Bedingungen bei Remote-Repositories ermöglicht, Daten außerhalb des vorgesehenen Docker-Cache-Pfads zu schreiben [1]. Betroffen sind Organisationen, die Artifactory als Artefakt-Repository nutzen, insbesondere mit konfigurierten Docker-Remote-Repositories [1]. Sie ist im CISA-KEV-Katalog für Schwachstellen mit bestätigter aktiver Ausnutzung gelistet [2], was sie trotz ihrer offiziell "mittleren" CVSS-Bewertung zu einer Priorität im Schwachstellenmanagement macht [1]. Was heute zu tun ist: prüfen, ob deine Organisation JFrog Artifactory nutzt, die Berechtigungen authentifizierter Benutzer mit Zugriff auf Docker-Repositories überprüfen und das Sicherheitsupdate anwenden, sobald der Hersteller es bestätigt.

Was es ist und warum es wichtig ist

Laut der offiziellen, bei NVD registrierten Beschreibung kann ein authentifizierter Benutzer unter bestimmten Bedingungen bei Remote-Repositories Daten außerhalb des vorgesehenen Docker-Cache-Verzeichnisses schreiben [1]. Es handelt sich also nicht um einen anonymen Zugriff von außen: Wer diesen Fehler ausnutzt, verfügt bereits über ein gültiges Konto innerhalb der Plattform, und das Problem ermöglicht es dieser Person, die Speichergrenzen zu überschreiten, die sie eigentlich einhalten sollte.

NVD bewertet die Schwachstelle mit einem CVSS-Wert von 5.3 und stuft sie als Schweregrad "medium" ein [1]. Sie ist jedoch im Katalog der bekannten ausgenutzten Schwachstellen (KEV) von CISA gelistet [2], was bestätigt, dass bereits aktive Ausnutzung in der realen Welt festgestellt wurde, unabhängig von der Basisbewertung. Genau diese Kombination – auf dem Papier als moderat eingestufte technische Auswirkung, aber bereits bestätigte Ausnutzung – führt dazu, dass unser internes OCIRIA-Intelligence-Radar, das dieselben öffentlichen Informationen von NVD und CISA KEV analysiert, sie innerhalb der Kategorie "Path Traversal / Dateizugriff" als kritische Management-Priorität markiert. Diese Einstufung ist ein internes Priorisierungskriterium von OCIRIA und keine zusätzliche unabhängige Quelle oder eine von NVD abweichende offizielle Bewertung.

Diese Art von Fehler ist besonders wichtig, da Artifactory häufig als zentrales Artefakt-Repository (Docker-Images, Pakete, Binärdateien) innerhalb der Entwicklungskette eines Unternehmens fungiert. Gelingt es einem authentifizierten Benutzer, an nicht vorgesehenen Stellen zu schreiben, wird die Integrität der Artefakte gefährdet, die über dieses Repository zirkulieren.

Wer ist betroffen

Betroffen sind Organisationen, die JFrog Artifactory einsetzen, den einzigen in den verifizierten Daten identifizierten Hersteller [1]. Die offizielle Beschreibung weist darauf hin, dass die Ausnutzung davon abhängt, dass Remote-Repositories konfiguriert sind und der Angreifer über ein authentifiziertes Konto auf der Plattform verfügt [1]. Die verifizierten Daten spezifizieren weder konkrete betroffene Versionen noch Größe oder Branche der betroffenen Organisationen, daher sollte jede zusätzliche Einschätzung zum Opferprofil mit Vorsicht behandelt werden, bis die genaue in deiner Umgebung installierte Version bestätigt ist.

Wie du erkennst, ob du betroffen bist

• Prüfe, ob deine Organisation JFrog Artifactory nutzt und insbesondere ob Docker-Remote-Repositories konfiguriert sind, denn das ist die Bedingung, die in der offiziellen Beschreibung des Fehlers genannt wird [1].
• Überprüfe, welche authentifizierten Benutzer Schreibberechtigungen für diese Repositories haben, da der Fehler ein gültiges Konto voraussetzt, keinen anonymen Zugriff [1].
• Prüfe, ob die Artifactory-Instanz von außerhalb des Unternehmensnetzwerks erreichbar ist: Je stärker sie nach außen exponiert ist, desto mehr potenzielle Konten könnten die beschriebene Ausnutzung versuchen.
• Überprüfe die Aktivitätsprotokolle auf Schreibvorgänge in ungewöhnlichen Pfaden außerhalb der üblichen Cache-Ordner.

Wie du dich schützt

• Wende das Sicherheitsupdate von JFrog Artifactory an, sobald der Hersteller es für deine installierte Version bestätigt.
• Prüfe und beschränke die Berechtigungen authentifizierter Benutzer für die Docker-Repositories und begrenze, wer dort schreiben darf.
• Da die Schwachstelle bereits als aktiv ausgenutzt gilt [2], behandle sie mit derselben Dringlichkeit, als hätte sie eine höhere CVSS-Bewertung, statt dich allein an der Einstufung "medium" von NVD zu orientieren [1].
• Überprüfe regelmäßig, welche Verwaltungsoberflächen und -dienste deiner Organisation vom Internet aus erreichbar sind, als Teil einer grundlegenden Sicherheitshygiene.

Häufig gestellte Fragen

Ist es eine kritische Schwachstelle?

NVD bewertet sie mit CVSS 5.3 und stuft sie als Schweregrad "medium" ein [1]. Da sie jedoch im CISA-KEV-Katalog aktiv ausgenutzter Schwachstellen gelistet ist [2], ist das praktische Risiko höher, als diese Bewertung vermuten lässt, weshalb wir sie mit hoher Priorität verfolgen.

Welches Produkt ist betroffen?

JFrog Artifactory, gemäß dem in den verifizierten Daten identifizierten Hersteller [1]. Die konsultierten Quellen bestätigen keine konkreten betroffenen Versionen.

Benötigt der Angreifer vorherige Zugangsdaten?

Ja. Die offizielle Beschreibung legt fest, dass es sich um einen authentifizierten Benutzer handeln muss [1].

Gibt es Beweise für tatsächliche Ausnutzung?

Ja, die Schwachstelle ist im CISA-KEV-Katalog erfasst, der nur Fehler mit Nachweis bestätigter aktiver Ausnutzung enthält [2].

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-66384
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json