脅威アクターがJFrog Artifactoryの3件の脆弱性、すなわちCVE-2026-42016、CVE-2026-42018、CVE-2026-82329を積極的に悪用し、認証をバイパスして権限を昇格させ、公開されているインスタンスの管理者権限を掌握していることが分かりました。
Artifactoryは独自のソフトウェアパッケージ、ビルド成果物、アクセストークン、リポジトリの認証情報、そして開発環境全体で使用される各種インテグレーションを保管していることが多いため、今回の攻撃は重大なサプライチェーンリスクをもたらします。
管理者権限を取得した攻撃者は、ソフトウェア成果物の改ざん、認証情報の窃取、サーバーサイドプラグインの展開、そして永続的な足場の構築が可能になります。
Wizは、8月15日から9月8日にかけて、自己ホスト型のArtifactory環境に対してCVE-2026-42018とCVE-2026-42016を連鎖させる攻撃を観測しました。
CVE-2026-42018は認証に関する脆弱性で、匿名アクセスが無効になっている場合でも、内部の匿名ユーザートークンが未認証のリモートリクエストに露出してしまう可能性があります。
攻撃者はまず、末尾のスラッシュを含めた/access/api/v1/aws/token/宛てにPOSTリクエストを送信し、HTTP 200レスポンスとともに匿名ユーザーのJWTを取得しました。
続いて、そのトークンを使って/access/api/v1/tokens宛てにPOSTリクエストを送り、トークンのスコープ検証に関する脆弱性であるCVE-2026-42016を悪用しました。
この脆弱性により、Artifactoryがトークン本来の認可スコープを適切に強制していないため、有効ではあるものの低権限のトークンを管理者スコープのトークンに交換することが可能になります。
その結果得られる認証情報は匿名ユーザー名のままですが、実際には管理者権限を持っています。そのため、その後のリクエストはログ上でtoken:anonymousとして記録される可能性があり、不正な活動の深刻さが見えにくくなる恐れがあります。
観測された侵害事例の一部では、攻撃者は最初のリクエストからわずか5分以内に永続的な管理者アカウントを作成していました。
Wizはさらに、デフォルト設定のArtifactory環境に影響を及ぼす深刻な認証バイパスの脆弱性、CVE-2026-82329の悪用も確認しています。
攻撃者は未認証のPOSTリクエストを/access/api/v1/registry/join宛てに送信し、HTTP 201レスポンスとして管理者スコープのトークンを取得していました。
侵害後の活動には、/api/system/configurationを通じた設定情報の窃取、トークンの発行、ユーザーおよびリポジトリの列挙、そして/access/api/v1/system/security/join_keyからのクラスタ参加キーの窃取が含まれていました。
攻撃者はまた管理者アカウントを作成しており、その中にはNxploited_、labadmin_、0xTerror、svc_プレフィックスなど、概念実証(PoC)活動を連想させる名前が使われているケースもありました。
その一方で、jfrog-distribution、jfrog-insight、repo-serviceのように、通常の運用に紛れ込むよう意図されたアカウント名も見られました。
観測された後続の行動としては、悪意のあるGroovyプラグインの展開、Artifactoryプラグインのエンドポイントを介したシェルコマンドの実行、Webシェルのアップロード、そして/dev/shm、/tmp、/var/tmpといった書き込み可能なディレクトリへのRust製バックドアのダウンロードが確認されています。
セキュリティチームは、直ちにArtifactoryインスタンスの棚卸しを行い、修正版へのアップグレードを実施する必要があります。
JFrogはCVE-2026-82329について、バージョン7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20以降で対処済みです。CVE-2026-42018は7.111.20、7.117.28、7.125.20、7.133.29、7.146.9で修正されており、CVE-2026-42016はバージョン7.133.11以降で修正されています。
防御側は、インターネットに公開されているサーバーを優先的に対応し、Artifactoryへのアクセスを信頼できるネットワークに制限するとともに、不審なトークンの利用、想定外の管理者アカウント作成、プラグインの変更、そして脆弱なエンドポイントへの成功したリクエストの兆候がないか調査すべきです。
16,000以上の組織からの最新インテリジェンスで、脅威の検知率を58%向上。TIフィードを統合し、貴社のSOCへ
翻訳元: https://cyberpress.org/hackers-exploit-jfrog-artifactory-flaws/
