この脆弱性はすでに実環境で悪用が確認されており、攻撃者が管理者トークンを生成し、多くの組織のソフトウェアサプライチェーンを支えるプラットフォームであるArtifactoryへのアクセスを獲得できる状態になっています。
JFrog Artifactoryに存在する認証バイパスの重大な脆弱性が現在実環境で悪用されており、攻撃者が管理者トークンを生成し、このソフトウェアサプライチェーン基盤プラットフォームの機密データを探索している様子が確認されています。
この脆弱性はCVE-2026-82329として追跡されており、JFrogが8月28日に公表しました。デフォルト設定の場合、ネットワークアクセスを持つ未認証の攻撃者が管理者権限を取得できる可能性があります。
watchTowrによると、9月1日までに同社のハニーポット「Attacker Eye」は、脅威アクターがインターネットに公開されたシステムを悪用する様子をすでに捉えていました。この活動には、攻撃者による管理者トークンの生成や、ユーザー、グループ、認証情報セット、フェデレーションアクセスのトポロジーの列挙が含まれていました。
watchTowrのプリンシパル脅威インテリジェンス専門家であるYordan Ganchev氏は次のように述べています。「これは、公表から実際の悪用への移行が、不快なほどの速さで進みました。攻撃者が中枢のソフトウェアサプライチェーンシステムへの管理者レベルのアクセスを獲得すると、あらゆるエンジニアリングチームが最も得意とすること――つまりビルド、出荷、配布を、迅速に実行できてしまいます」
管理者アクセスへの「幻の」鍵
この脆弱性は、認証情報の発行と検証を担うコンポーネントであるJFrog Accessに由来します。Ganchev氏によると、追加のジョインキーが設定されていない影響を受けるインスタンスは「幻の(phantom)」ジョインキーを受け取ってしまい、攻撃者はこれを悪用してアクセスを偽装し、管理者レベルの認証情報を作成できるとのことです。
JFrogのセキュリティアドバイザリでは、この問題を認証上の弱点と説明しており、デフォルト設定下では、ネットワークアクセスを持つ未認証の攻撃者が管理者権限を取得できる可能性があるとしています。
この脆弱性には重大(Critical)の深刻度(CVSSスコア9.8)が割り当てられており、複数のセルフホスト型Artifactoryのリリースブランチに影響します。JFrogは影響を受けるセルフホスト版向けの修正版をリリース済みで、影響を受けるクラウド環境についてはすでに対策が講じられています。
ユーザーは、利用しているリリースブランチに応じて、バージョン7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20のいずれかへのアップグレードが推奨されています。
Black Duckのソリューションマネジメント担当シニアディレクターであるCollin Hogue-Spears氏は次のように述べています。「Artifactoryにおける管理者権限とは、その独自のチェック機構に対する管理者権限を意味します。CVE-2026-82329は侵入をもたらします。リポジトリに対する管理権限を握られると、その侵入は『すり替え』へと変わってしまうのです」
Ganchev氏によると、中枢のアーティファクトリポジトリに対する管理者権限を得た攻撃者は、ビルドパイプラインを改ざんし、本番システムへ横展開し、下流の顧客に悪意あるコードを配布する可能性があるとのことです。
パッチはドアを塞いだが、すでに侵入した者への対処ではない
目下の対策としては、特にインターネットに公開されている、影響を受けるセルフホスト型Artifactoryシステムへのパッチ適用が挙げられます。
Ganchev氏は次のように警告しています。「脆弱な状態のまま公開されていたシステムは、侵害されている可能性があるものとして扱うべきです。防御側は監査ログを調査し、外部に露出した認証情報をローテーションし、接続されたシステムに悪意ある変更やバックドアアクセスがないか調べる必要があります」
Hogue-Spears氏も管理者トークンについて同様の指摘をしています。修正前に作成されたトークンは、失効させない限り有効なまま残る可能性があるため、組織はソフトウェアのアップグレードだけで攻撃者のアクセス権が消えると考えるのではなく、脆弱なインスタンス上の管理者トークンを失効させ、再発行すべきだと同氏は述べています。
Hogue-Spears氏はさらに、整合性チェックはリポジトリ自体にとどまらず、その先にも及ぶべきだと主張しています。本番システムでは、コンテナイメージを不変のダイジェストに固定し、デプロイ時に署名と来歴を検証する必要があります。同氏は「アーティファクトのそばに置かれた署名は、単なる証拠にすぎません」と述べ、「デプロイ時に検証される署名こそが、実効性を持つのです」と付け加えました。
