Vulnerabilități KEV JFrog Artifactory: domeniul tokenului contează mai mult decât patch-ul

CISA a adăugat două vulnerabilități JFrog Artifactory în catalogul său de vulnerabilități exploatate cunoscute pe 11 septembrie 2026, acordând agențiilor federale termen până pe 25 septembrie pentru remediere în conformitate cu Directiva Operațională Obligatorie 26-04. Cercetătorii de securitate de la Wiz spun că atacatorii au înlănțuit deja cele două vulnerabilități în sălbăticie pentru a escalada de la o conexiune anonimă la acces administrativ complet pe instanțe Artifactory auto-găzduite.

Ce fac cele două CVE-uri

CVE-2026-42018 este o vulnerabilitate de autentificare necorespunzătoare care poate determina Artifactory să furnizeze un token intern de utilizator anonim unei cereri neautentificate, chiar și atunci când accesul anonim este dezactivat. CVE-2026-42016, cu scor CVSS 8.1, este o problemă de escaladare a privilegiilor: Artifactory validează semnătura și emitentul unui token, dar nu și domeniul acestuia, astfel încât un token destinat să acopere o acțiune restrânsă poate fi reutilizat pentru mai mult decât s-a intenționat să permită.

Wiz raportează că atacatorii folosesc combinația celor două încă de la mijlocul lunii august 2026 pentru a crea conturi persistente de administrator, a instala pluginuri malițioase pentru executarea de cod și a extrage date de configurare și chei de cluster. La momentul dezvăluirii, Wiz a măsurat că aproximativ două treimi dintre organizațiile care rulează Artifactory aveau încă cel puțin o instanță vulnerabilă.

De ce „semnat și valid” nu este același lucru cu „domeniu configurat corect”

Pentru MSP-urile din UE care auditează instanțele clienților, întrebarea esențială nu este dacă semnătura unui token este validă — de obicei este — ci dacă platforma aplică separat ce tenant, repository, cale și verb poate accesa acel token. Validarea semnăturii și a emitentului răspunde la întrebările „cine a emis acest token?” și „a fost modificat?”. Nu răspunde la întrebarea „ce are voie să facă acest token?”. Cereți oricărui furnizor, inclusiv JFrog, să demonstreze aplicarea domeniului și jurnalizarea refuzurilor cu dovezi din afara producției înainte de a trata un număr de versiune cu patch ca final al verificării.

Ce să reverificați după aplicarea patch-ului

• Actualizați la o versiune Artifactory remediată — 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 sau 7.111.21 — corespunzătoare ramurii utilizate.
• Reauditați setările de acces anonim și permisiunile repository-urilor, nu doar șirul versiunii.
• Revizuiți audiențele tokenurilor conturilor de serviciu și revocați orice token emis înainte de patch.
• Confirmați că limitele între tenanturi rezistă la același test de domeniu folosit pentru validarea remedierii.

Patch-ul închide bypass-ul specific; nu restrânge retroactiv tokenurile care erau deja supra-dimensionate. Tratați rotația credentialelor și revizuirea domeniilor ca parte a remedierii, nu ca o etapă ulterioară opțională.

Surse: Catalogul KEV al CISA, Avizele de securitate JFrog, SecurityWeek.