JFrog Artifactory KEV-kwetsbaarheden: token-scope belangrijker dan de patch

CISA voegde op 11 september 2026 twee JFrog Artifactory-kwetsbaarheden toe aan de catalogus met bekende uitgebuitte kwetsbaarheden, waardoor federale agentschappen tot 25 september de tijd hebben om te herstellen onder Binding Operational Directive 26-04. Beveiligingsonderzoekers van Wiz zeggen dat aanvallers de twee kwetsbaarheden in het wild al hebben gecombineerd om van een anonieme verbinding op te klimmen naar volledige beheerderstoegang op zelf-gehoste Artifactory-instanties.

Wat de twee CVE's doen

CVE-2026-42018 is een kwetsbaarheid door onjuiste authenticatie die ertoe kan leiden dat Artifactory een intern anoniem-gebruikerstoken aan een niet-geauthenticeerd verzoek verstrekt, zelfs wanneer anonieme toegang is uitgeschakeld. CVE-2026-42016, beoordeeld met CVSS 8.1, is een privilege-escalatieprobleem: Artifactory valideert de handtekening en uitgever van een token, maar niet de scope ervan, waardoor een token dat bedoeld is voor een beperkte actie kan worden hergebruikt voor meer dan waarvoor het was bedoeld.

Wiz meldt dat aanvallers de combinatie sinds ten minste medio augustus 2026 hebben gebruikt om permanente beheerdersaccounts aan te maken, kwaadaardige plugins te installeren voor code-uitvoering en configuratiegegevens en clustersleutels op te halen. Bij openbaarmaking mat Wiz dat ongeveer twee derde van de organisaties die Artifactory draaien nog steeds ten minste één kwetsbare instantie had.

Waarom "ondertekend en geldig" niet hetzelfde is als "correct gescoped"

Voor EU-MSP's die klantinstanties auditen, is de operationele vraag niet of de handtekening van een token klopt — dat doet die meestal — maar of het platform afzonderlijk afdwingt welke tenant, repository, pad en werkwoord dat token mag raken. Handtekening- en uitgevervalidatie beantwoorden "wie heeft dit uitgegeven?" en "is ermee geknoeid?" Ze beantwoorden niet "wat mag dit doen?" Vraag elke leverancier, inclusief JFrog, om scope-afdwinging en weigeringslogging aan te tonen met niet-productiebewijs voordat u een gepatcht versienummer als einde van de beoordeling beschouwt.

Wat u na het patchen opnieuw moet controleren

• Werk bij naar een vaste Artifactory-release — 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 of 7.111.21 — afgestemd op de gebruikte branch.
• Controleer anonieme-toegangsinstellingen en repositorymachtigingen opnieuw, niet alleen de versiestring.
• Beoordeel de token-audiences van serviceaccounts en trek alles in dat vóór de patch is uitgegeven.
• Bevestig dat cross-tenant-grenzen standhouden onder dezelfde scope-test die is gebruikt om de fix te valideren.

De patch dicht de specifieke bypass; hij vernauwt tokens die al te ruim gescoped waren niet met terugwerkende kracht. Behandel credential-rotatie en scope-beoordeling als onderdeel van de herstelwerkzaamheden, niet als optionele follow-up.

Bronnen: CISA KEV-catalogus, JFrog-beveiligingsadviezen, SecurityWeek.