JFrog Artifactoryに存在する認証バイパスの脆弱性が新たに公表され、インターネットに公開された脆弱なインスタンスに対して攻撃者が管理者トークンを不正生成しているとの警告が出されています。
CVE-2026-82329として追跡されているこの脆弱性は、Artifactoryがデフォルト設定で稼働している場合、認証されていないネットワーク攻撃者が管理者権限を取得できてしまうというものです。CVSS v3.1のスコアは9.8で、深刻度は「Critical(緊急)」に分類されています。
ベクター値はAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hで、リモートから到達可能であり、攻撃の複雑さは低く、既存のアカウントを必要とせず、ユーザーの操作も一切不要であることを示しています。
Artifactoryは、ソフトウェアパッケージ、コンテナイメージ、バイナリ、ビルド成果物を管理するリポジトリマネージャーです。このような環境への管理者アクセスを奪われれば、侵入者はリポジトリ設定やID、アクセストークン、さらには開発者や自動ビルドシステムが利用する成果物までも掌握できてしまう可能性があります。
そのため今回の事案は、単なる管理コンソールの露出問題にとどまらず、深刻なソフトウェアサプライチェーンリスクだと言えます。攻撃者が独自の管理者トークンを作成しているというwatchTowrの観測結果は、特に懸念される点です。
セキュリティチームは、影響を受けたインスタンスの侵害を、ID侵害および成果物の完全性に関わるインシデントとして扱うべきです。新たな管理者権限を持つプリンシパルやトークンが作成されていないか、作成されていた場合その権限範囲や有効期限はどうなっているか、そしてリポジトリが侵害されていないかを確認する必要があります。
JFrogは8月28日に修正版をリリースしました。影響を受ける自己管理型デプロイメントには、7.111.21より前のリリースに加え、以下のリリース系統が含まれます:7.117.0から7.117.27、7.125.0から7.125.19、7.133.0から7.133.28、7.146.0から7.146.37、そして7.161.0から7.161.19です。
修正済みバージョンは、サポート対象のブランチに応じて7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20となっています。JFrogがホストするクラウド環境については、すでにパッチが適用済みとされています。
各組織は、自社でホストしているArtifactoryインスタンスの棚卸しを直ちに実施すべきです。該当する修正版へは、緊急対応として速やかにアップグレードしてください。
直ちにパッチを適用できない場合は、信頼できるネットワークのみにアクセスを制限し、不要な公開設定を解除するとともに、管理用エンドポイントを厳しく制御してください。
Watchtowerは次のように述べています。インシデント対応者は、脆弱性の公表および露出があった期間前後のArtifactoryログ、アクセスログ、プロキシログを保存し精査すべきだとしています。
新たに発行された管理者トークン、不審なトークンの使用、見覚えのない管理者アカウント、権限変更、リポジトリ設定の編集、そして予期しない成果物のアップロード・置き換え・ダウンロードがないか調査してください。
不審なトークンは失効させ、漏洩の可能性がある認証情報はローテーションを行い、下流での展開に先立って重要な成果物の出所と完全性を検証してください。
実際の悪用が報告されていることから、各組織は、公開状態にあり未パッチかつデフォルト設定のままのインスタンスは直ちに危険にさらされていると想定すべきです。侵入が開発・配信パイプラインへと波及する前に食い止めるには、迅速なパッチ適用、トークンに焦点を当てたフォレンジック調査、そして成果物の完全性チェックが不可欠です。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/critical-jfrog-artifactory-authentication-bypass/
