JFrog Artifactory 多个漏洞威胁软件供应链安全

• CVE-2023-42509：机密泄露 (CVSS 6.6)。该漏洞存在的原因是 Artifactory 管理仓库配置的方式不当。处理不当的错误可被组合用于泄露敏感数据如凭据或内部系统信息。虽然该漏洞本身并不能立即产生灾难性后果，但可使攻击者获得进一步攻陷防御措施的有价值信息。

• CVE-2023-42661：任意文件写（CVSS 7.2）。该漏洞与 Artifactory 的文件处理流程有关。认证攻击者可发送特殊设计的请求，诱骗 Artifactory 编写任意文件，从而可能造成严重后果，如系统崩溃、数据损坏或直接在用户机器上运行恶意代码。

• CVE-2023-42662：访问令牌泄露（CVSS 9.3）：该漏洞为严重等级的漏洞，可攻陷 Artifactory 的单点登录特性。特殊构造的 web 地址可诱骗用户暴露自己的访问令牌。成功攻击可导致攻击者模拟合法用户并对 Artifactory 环境造成严重损害。

JFrog已修复这些漏洞并提供缓解措施。