Failles JFrog Artifactory dans le KEV : la portée du jeton compte plus que le correctif

La CISA a ajouté deux vulnérabilités de JFrog Artifactory à son catalogue Known Exploited Vulnerabilities le 11 septembre 2026, donnant aux agences fédérales jusqu’au 25 septembre pour les corriger conformément à la Binding Operational Directive 26-04. Des chercheurs en sécurité chez Wiz indiquent que des attaquants ont déjà enchaîné les deux failles dans la nature pour passer d’une connexion anonyme à un accès administratif complet sur des instances Artifactory auto-hébergées.

Ce que font les deux CVE

CVE-2026-42018 est une faille d’authentification incorrecte qui peut amener Artifactory à fournir un jeton utilisateur anonyme interne à une requête non authentifiée, même lorsque l’accès anonyme est désactivé. CVE-2026-42016, notée CVSS 8.1, est un problème d’élévation de privilèges : Artifactory valide la signature et l’émetteur d’un jeton, mais pas sa portée, si bien qu’un jeton destiné à une action limitée peut être réutilisé pour plus que ce qui était prévu.

Wiz signale que des attaquants ont utilisé cette combinaison depuis au moins la mi-août 2026 pour créer des comptes administrateurs persistants, installer des plugins malveillants pour exécuter du code et extraire des données de configuration et des clés de cluster. Au moment de la divulgation, Wiz a mesuré qu’environ deux tiers des organisations utilisant Artifactory conservaient au moins une instance vulnérable.

Pourquoi « signé et valide » n’équivaut pas à « correctement limité »

Pour les MSP européens qui auditent les instances clients, la question essentielle n’est pas de savoir si la signature d’un jeton est valide — elle l’est généralement —, mais si la plateforme applique séparément les restrictions sur le locataire, le dépôt, le chemin et le verbe que ce jeton peut toucher. La validation de la signature et de l’émetteur répond aux questions « qui a émis ceci ? » et « a-t-il été altéré ? ». Elle ne répond pas à « que ce jeton est-il autorisé à faire ? ». Demandez à tout éditeur, JFrog compris, de démontrer l’application de la portée et la journalisation des refus avec des preuves hors production avant de considérer un numéro de version corrigée comme la fin de la revue.

Ce qu’il faut revérifier après le correctif

• Mettre à jour vers une version corrigée d’Artifactory — 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 ou 7.111.21 — correspondant à la branche utilisée.
• Réauditer les paramètres d’accès anonyme et les permissions des dépôts, pas seulement la chaîne de version.
• Examiner les audiences des jetons de comptes de service et révoquer tout ce qui a été émis avant le correctif.
• Confirmer que les limites inter-locataires tiennent sous le même test de portée utilisé pour valider le correctif.

Le correctif ferme le contournement spécifique ; il ne réduit pas rétroactivement les jetons déjà trop larges. Considérez la rotation des identifiants et la revue de portée comme faisant partie de la remédiation, et non comme un suivi facultatif.

Sources : Catalogue KEV de la CISA, avis de sécurité JFrog, SecurityWeek.