JFrog Artifactoryに存在する重大な認証バイパスの脆弱性(CVE-2026-82329)が攻撃で悪用されており、管理者権限を持つトークンの生成に利用されています。
この脆弱性は、ソフトウェアパッケージの保存・整理・保護・配布に使われるリポジトリマネージャー「JFrog Artifactory」の、自己管理型インスタンスにおけるデフォルト構成に存在します。
ネットワークアクセスさえあれば、未認証の攻撃者でもこの脆弱性を悪用して管理者権限を取得できます。
攻撃的セキュリティ企業watchTowrの研究者らは、「攻撃者が自らに管理者トークンを発行している」形でこの脆弱性が悪用されている様子を観測しました。
この脆弱性に関する詳細は乏しく、JFrogのアドバイザリでも、Artifactoryのデフォルト構成で悪用可能であること以上の情報はほとんど公開されていません。
Vercelの最高経営責任者(CEO)であるGuillermo Rauch氏は、この脆弱性の影響がArtifactory自体の侵害にとどまらない可能性があると警告しています。
アプリケーションセキュリティ企業Black DuckでSolution Management担当シニアディレクターを務めるCollin Hogue-Spears氏はBleepingComputerに対し、「Artifactoryへの管理者アクセスは、下流のシステムがすでに信頼し、自動的に取得しているリリース済みのアーティファクトにまで及ぶ」と説明しています。
組織はビルドシステムやデプロイシステムが利用するバイナリやパッケージの保管にArtifactoryを使用しているため、管理者権限を得た攻撃者が信頼済みのアーティファクトを差し替え、下流システム上で悪意のあるコードを実行できる可能性があります。
Rauch氏はまた、この脆弱性が自律型AIエージェントに関する最近の研究と関連している可能性についても言及しています。
JFrogは8月28日にこの問題への対応を行い、Artifactoryのバージョン7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20で修正しています。同社によれば、JFrog Cloud環境はすでに保護されていたとのことです。
攻撃者が自ら管理者トークンを偽造できるということは、ユーザー・グループ・フェデレーショントポロジーの列挙、アーティファクトの読み取り、セキュリティ設定の変更、既存パッケージの汚染など、さまざまな重要な操作が可能になることを意味します。
ただし、実際の被害範囲や、サーバーが本当に侵害されたかどうかは明らかになっていません。被害件数、テレメトリの詳細、侵害指標(IoC)についても不明な状態です。
BleepingComputerはこの報告された活動について確認を求めJFrogに問い合わせましたが、現時点で回答は得られていません。
