Luki KEV w JFrog Artifactory: zakres tokenu ważniejszy niż łatka

CISA dodała dwie luki JFrog Artifactory do katalogu znanych wykorzystywanych luk 11 września 2026 r., dając agencjom federalnym czas do 25 września na ich usunięcie zgodnie z dyrektywą operacyjną BOD 26-04. Badacze bezpieczeństwa z Wiz twierdzą, że atakujący już łączą te dwie luki w realnych atakach, aby eskalować uprawnienia od anonimowego połączenia do pełnego dostępu administracyjnego na samoobsługowych instancjach Artifactory.

Co robią te dwie luki CVE

CVE-2026-42018 to luka w nieprawidłowym uwierzytelnianiu, która może sprawić, że Artifactory przekaże wewnętrzny token anonimowego użytkownika do nieuwierzytelnionego żądania, nawet gdy dostęp anonimowy jest wyłączony. CVE-2026-42016, oceniona na CVSS 8.1, to luka eskalacji uprawnień: Artifactory sprawdza sygnaturę tokenu i wystawcę, ale nie jego zakres, więc token przeznaczony do wąskiego działania może zostać użyty do czegoś więcej, niż powinien pozwalać.

Wiz informuje, że atakujący wykorzystują tę kombinację co najmniej od połowy sierpnia 2026 r., aby tworzyć trwałe konta administratora, instalować złośliwe wtyczki do wykonywania kodu oraz pobierać dane konfiguracyjne i klucze klastra. W momencie ujawnienia Wiz oszacował, że około dwie trzecie organizacji korzystających z Artifactory nadal ma co najmniej jedną podatną instancję.

Dlaczego „podpisany i ważny” to nie to samo co „prawidłowo ograniczony zakresem”

Dla unijnych MSP audytujących instancje klientów kluczowe pytanie nie brzmi, czy sygnatura tokenu się zgadza — zazwyczaj tak — ale czy platforma osobno egzekwuje, którego najemcę, repozytorium, ścieżkę i czasownik token może dotykać. Walidacja sygnatury i wystawcy odpowiada na pytania „kto to wystawił?” i „czy zostało to naruszone?”. Nie odpowiada na pytanie „co ten token może robić?”. Poproś każdego dostawcę, w tym JFrog, o wykazanie egzekwowania zakresu i logowania odmów na dowodach nieprodukcyjnych, zanim uznasz numer załatanej wersji za koniec przeglądu.

Co ponownie sprawdzić po załataniu

• Zaktualizuj do naprawionej wersji Artifactory — 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 lub 7.111.21 — dopasowanej do używanej gałęzi.
• Ponownie przeaudytuj ustawienia dostępu anonimowego i uprawnienia repozytoriów, a nie tylko ciąg wersji.
• Przejrzyj odbiorców tokenów kont usług i unieważnij wszystko, co zostało wydane przed łatką.
• Potwierdź, że granice między najemcami wytrzymują ten sam test zakresu, którego użyto do walidacji poprawki.

Łatka zamyka konkretne obejście; nie ogranicza wstecznie tokenów, które już miały zbyt szeroki zakres. Traktuj rotację poświadczeń i przegląd zakresów jako część działań naprawczych, a nie opcjonalny krok dodatkowy.

Źródła: katalog KEV CISA, poradniki bezpieczeństwa JFrog, SecurityWeek.