Illustration mit KI erzeugt
Der Cadence-Angriff auf JetBrains legte AWS-Zugangsdaten nach TeamCity-RCE offen
JetBrains meldet Cadence-Angriff via TeamCity-Lücke CVE-2026-63077: Angreifer stahlen AWS-Zugangsdaten aus Backup und griffen auf S3-Dateien zu.
Von künstlicher Intelligenz erzeugter Text, ohne menschliche Überprüfung veröffentlicht. KI-Transparenz
JetBrains hat einen Sicherheitsvorfall bei seinem Cloud-Computing-Dienst Cadence offengelegt. Unbekannte Angreifer hatten CVE-2026-63077 ausgenutzt, eine kritische Schwachstelle zur Remotecodeausführung in TeamCity.
Der Angriff betraf den Cadence-Server unter api.cadence.jetbrains.com, den JetBrains inzwischen vom Netz genommen hat. Die Angreifer griffen auf ein Server-Backup zu, extrahierten AWS-Identitätsdaten und gelangten an Dateien in S3-Buckets, die dem Dienst zugeordnet waren.
JetBrains entdeckte die Ausnutzung am 23. August 2026. Der umfassendere Angriffszeitraum erstreckte sich vom 8. bis zum 24. August 2026. Aktivitäten ab dem 8. August sollten daher als potenziell verdächtig behandelt werden.
Nach Angaben des Unternehmens hätte der TeamCity-Server im Rahmen des Schwachstellenreaktionsprozesses aktualisiert werden müssen. Warum der Patch nicht eingespielt wurde, hat JetBrains nicht erklärt.
Ein ungepatchter TeamCity-Server öffnete den Angreifern die Tür
CVE-2026-63077 ist eine nicht authentifizierte Schwachstelle zur Remotecodeausführung in TeamCitys Protokoll zur Abfrage von Agents. Sie ist als CWE-502, Deserialisierung nicht vertrauenswürdiger Daten, klassifiziert.
Ein Angreifer, der einen verwundbaren TeamCity-Server erreichen kann, kann die Schwachstelle ohne Zugangsdaten oder Interaktion eines Benutzers ausnutzen. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebiger Betriebssystembefehle mit den Berechtigungen des TeamCity-Serverprozesses.
Die Schwachstelle hat einen CVSS-v3-Score von 9,8 und den Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Diese Bewertung spiegelt einen über das Netzwerk erreichbaren Angriff mit geringer Komplexität wider, für den keine vorhandenen Berechtigungen und keine Aktion eines legitimen Benutzers erforderlich sind. Eine erfolgreiche Kompromittierung kann die Vertraulichkeit, Integrität und Verfügbarkeit in hohem Maße beeinträchtigen.
Die betroffenen Versionsgrenzen umfassen zwei TeamCity-Release-Zweige. Bereitstellungen vor 2025.11.7 sind betroffen. In der Beschreibung der NVD werden außerdem Versionen vor 2026.1.3 und 2025.11.7 als verwundbar genannt. Administratoren sollten daher die passende korrigierte Version für den jeweils installierten Zweig verwenden und 2025.11.7 nicht als allgemeingültige Versionsgrenze betrachten.
JetBrains hat die genaue TeamCity-Version auf dem kompromittierten Cadence-Server nicht offengelegt. Das Unternehmen hat die Bereitstellung lediglich als ungepatcht bezeichnet.
CISA hatte die aktive Ausnutzung bereits bestätigt
CISA nahm CVE-2026-63077 am 5. August 2026 in ihren Katalog der bekannten ausgenutzten Schwachstellen auf. Die Frist zur Behebung für US-Bundesbehörden endete am 8. August 2026 – genau an dem Tag, an dem der gemeldete Angriffszeitraum bei Cadence begann.
Die Aufnahme in den KEV-Katalog bedeutet, dass die Schwachstelle nicht nur theoretisch als ausnutzbar eingestuft wurde. CISA verfügte über Belege für ihre Ausnutzung bei realen Angriffen.
Die Behörde verpflichtet betroffene Organisationen, die vom Hersteller bereitgestellten Maßnahmen zur Risikominderung umzusetzen und dabei BOD 26-04, „Priorisierung von Sicherheitsupdates auf Grundlage des Risikos“, sowie die Anforderungen an die forensische Triage zu befolgen. Für Cloud-Dienste müssen Behörden die jeweils geltenden Vorgaben aus BOD 26-04 einhalten oder das Produkt nicht mehr verwenden, wenn keine Maßnahmen zur Risikominderung verfügbar sind.
CISA weist die zuständigen Stellen außerdem an, die Internetpräsenz jedes Assets zu bewerten und sicherzustellen, dass die Aktualisierung gemäß der verbindlichen Richtlinie erfolgt. TeamCity-Systeme mit Internetzugang erfordern besondere Aufmerksamkeit, da CVE-2026-63077 keine Authentifizierung voraussetzt.
Der Vorfall bei Cadence zeigt die operativen Folgen eines solchen ungeschützten Servers. Die anfängliche Codeausführung auf einer Entwicklungsplattform verschaffte den Angreifern Zugriff auf gespeicherte Geheimnisse, die gegen Cloud-Infrastruktur und externe Dienste eingesetzt werden konnten.
Backup-Daten führten zu AWS-Identitäten und S3-Dateien
Cadence ist ein von JetBrains gehosteter Dienst, der über ein optionales Plugin eine Verbindung zu PyCharm herstellt. Entwickler können damit Machine-Learning-Workloads und andere rechenintensive Aufgaben auf Cloud-GPUs direkt aus der IDE ausführen.
Nach der Kompromittierung des Cadence-Servers griffen die Angreifer auf ein vollständiges Server-Backup aus dem Jahr 2024 zu. Dieses Backup konnte Zugangsdaten, Geheimnisse, Konfigurationsinformationen, Ausführungs- oder Build-Artefakte, Protokolle und weitere Betriebsdaten enthalten.
JetBrains bestätigte, dass mehrere AWS-IAM-Benutzer sowie die zugehörigen Zugangsdaten oder Geheimnisse aus dem Backup extrahiert wurden. Zu den betroffenen Identitäten gehörten auch Konten von JetBrains-Mitarbeitern, die Cadence verwendet hatten.
Die Angreifer griffen außerdem auf Dateien in S3-Buckets innerhalb von JetBrains-AWS-Konten zu, die der Dienst nutzte. Der möglicherweise offengelegte Speicher kann Daten von aktuellen Cadence-Nutzern enthalten, darunter:
- Benutzernamen, echte Namen und E-Mail-Adressen
- Zeitstempel der letzten Anmeldung und IP-Adressen des letzten Zugriffs
- Quellcode von PyCharm-Projekten
- Zugangsdaten und Konfigurationsdaten
- Eingaben, Ausgaben und Artefakte von Ausführungen
- Weitere Dateien, die zur Verarbeitung in der Cloud hochgeladen oder synchronisiert wurden
Entwickler könnten mehr als nur die ausdrücklich für die Ausführung ausgewählten Dateien übertragen haben. Quellcodeverzeichnisse enthalten häufig Umgebungsdateien, Bereitstellungskonfigurationen, API-Schlüssel, Repository-Metadaten oder in Skripten und Notebooks eingebettete Zugangsdaten.
JetBrains erklärte, dass die Untersuchung keine weiteren betroffenen Nutzer ergeben habe, die nicht bereits direkt kontaktiert wurden. Dennoch behandelt das Unternehmen die in den betreffenden Speicherbereichen abgelegten Daten als potenziell offengelegt.
Das Unternehmen warnte außerdem, dass jede Cadence-Ausführung einschließlich ihrer Ein- und Ausgaben als nicht vertrauenswürdig betrachtet werden sollte. Damit geht die Reaktion über den Schutz der Vertraulichkeit hinaus: Organisationen müssen überprüfen, ob in der kompromittierten Umgebung erzeugte Artefakte verändert wurden.
Indikatoren weisen auf sechs Adressen für die Ausnutzung hin
JetBrains brachte sechs IP-Adressen mit beobachteten Aktivitäten zur Ausnutzung in Verbindung:
150.109.230.104
43.153.227.206
62.210.127.48
210.247.242.190
15.235.225.205
152.233.30.18
Verteidiger sollten Authentifizierungs-, Cloud-, Repository-, Endpoint- und Netzwerkprotokolle nach diesen Adressen durchsuchen. Treffer sind besonders relevant, wenn sie Zugangsdaten betreffen, die in Cadence gespeichert waren, oder Systeme, die über diese Zugangsdaten erreichbar sind.
Die Untersuchung sollte sich nicht ausschließlich auf diese Liste stützen. Angreifer können ihre Infrastruktur wechseln, Datenverkehr über andere Hosts leiten oder gestohlene Zugangsdaten von unabhängigen Standorten aus verwenden.
Teams sollten Aktivitäten während und nach dem Angriffszeitraum auf unerwartete Repository-Klone, Downloads, Commits oder Änderungen an Geheimnissen und Webhooks überprüfen. Auch neu angelegte Personal-Access-Tokens, API-Tokens, SSH-Schlüssel, Collaborators, Servicekonten und geänderte Berechtigungen müssen untersucht werden.
Cloud-Protokolle sollten auf Änderungen an IAM-Rollen, Richtlinien, Vertrauensbeziehungen und Speicherberechtigungen geprüft werden. Ungewöhnliche Zugriffe auf AWS-S3-Objekte oder vergleichbaren Google-Cloud-Speicher können darauf hindeuten, dass offengelegte Zugangsdaten über die JetBrains-Umgebung hinaus verwendet wurden.
Auch Software-Lieferkettensysteme haben Priorität. Organisationen sollten nach unbefugten Paketveröffentlichungen, veränderten Releases, manipulierten Container-Images oder Änderungen an Build- und Bereitstellungs-Workflows suchen.
Die Angreifer wurden keiner bekannten Gruppe, Kampagne oder Regierung zugeordnet. Ihre Ziele über den Erwerb von Daten und Zugangsdaten hinaus sind weiterhin unbekannt.
Die Rotation von Zugangsdaten muss über Cadence hinausgehen
JetBrains hat api.cadence.jetbrains.com vom Netz genommen und alle Zugriffstokens ungültig gemacht, die das Cadence-Plugin in PyCharm verwendet. Diese Maßnahmen unterbinden den bisherigen Verbindungsweg, machen jedoch keine Zugangsdaten ungültig, die aus Projekten, Backups oder Ausführungsumgebungen kopiert wurden.
Betroffene Nutzer und Organisationen sollten:
- Alle in Cadence gespeicherten oder einer Cadence-Ausführung zugänglich gemachten Passwörter, Tokens, API-Schlüssel, SSH-Schlüssel, Zertifikate und Geheimnisse widerrufen und rotieren.
- Zugangsdaten für AWS-IAM-Benutzer und andere Cloud-Identitäten ersetzen, die vom Dienst verwendet wurden.
- Nachgelagerte Systeme ermitteln, die mit diesen Zugangsdaten erreichbar sind, darunter Repositories, Registries, Bereitstellungsumgebungen, Cloud-Konten, Datenbanken und Paketplattformen.
- Repositories auf unbefugte Zugriffe, Commits, Downloads, Webhook-Änderungen, neue Collaborators, geänderte Berechtigungen und neu ausgestellte Tokens prüfen.
- Cloud-Audit-Protokolle auf IAM-Änderungen, neue Konten, ungewöhnliche Rollenübernahmen, Änderungen an Richtlinien und unerwartete S3-Zugriffe überprüfen.
- Build-, Paket-, Container- und Release-Systeme auf unbefugte Veröffentlichungen oder Änderungen untersuchen.
- Von Cadence erzeugte Ausgaben vor ihrer erneuten Verwendung oder Verteilung validieren.
- Verbundene Systeme auf Persistenzmechanismen, neue Servicekonten, veränderte Vertrauensbeziehungen und wiederverwendete Zugangsdaten durchsuchen.
Die Rotation sollte auch abhängige Zugriffswege umfassen. Das Ersetzen eines AWS-Schlüssels reicht beispielsweise nicht aus, wenn dasselbe Geheimnis in einem Repository, einer CI/CD-Plattform, einer lokalen Konfigurationsdatei oder einer anderen Cloud-Umgebung wiederverwendet wurde.
Offengelegte Namen und E-Mail-Adressen stellen ebenfalls ein zusätzliches Risiko dar. Angreifer könnten ihr Wissen über Cadence-Projekte oder JetBrains-Workflows nutzen, um gezielte Phishing-Nachrichten zu verfassen, sich als Administratoren auszugeben oder betroffene Entwickler zur Herausgabe neuer Zugangsdaten aufzufordern.
Der unmittelbare Einstiegspunkt über TeamCity wurde außer Betrieb genommen. Die schwierigere Aufgabe besteht darin zu ermitteln, welche Systeme mit den extrahierten Identitäten erreichbar waren – und ob die Angreifer sie genutzt haben, bevor sie widerrufen wurden.
Quellen
Dieser Artikel ist eine eigenständige Aufbereitung auf Basis der folgenden Quellen.