JFrog Artifactory KEV-brister: tokenomfattning viktigare än patchen

CISA lade den 11 september 2026 till två JFrog Artifactory-sårbarheter i sin katalog över kända utnyttjade sårbarheter, vilket ger federala myndigheter till och med den 25 september på sig att åtgärda dem enligt Binding Operational Directive 26-04. Säkerhetsforskare på Wiz uppger att angripare redan har kedjat ihop de två bristerna i verkliga attacker för att eskalera från en anonym anslutning till fullständig administrativ åtkomst på självhostade Artifactory-instanser.

Vad de två CVE:erna gör

CVE-2026-42018 är en autentiseringsbrist som kan leda till att Artifactory lämnar ut en intern token för anonym användare till en oautentiserad begäran, även när anonym åtkomst är avstängd. CVE-2026-42016, med CVSS-klassning 8.1, är ett privilegieeskaleringsproblem: Artifactory validerar en tokens signatur och utfärdare men inte dess omfattning, vilket gör att en token avsedd för en snäv åtgärd kan återanvändas för mer än den var tänkt att tillåta.

Wiz rapporterar att angripare har använt kombinationen sedan åtminstone mitten av augusti 2026 för att skapa beständiga administratörskonton, installera skadliga plugins för kodexekvering och hämta ut konfigurationsdata och klusternycklar. Vid offentliggörandet uppskattade Wiz att ungefär två tredjedelar av organisationerna som kör Artifactory fortfarande hade minst en sårbar instans.

Varför ”signerad och giltig” inte är samma sak som ”korrekt avgränsad”

För EU-MSP:er som granskar kundinstanser är den avgörande frågan inte om en tokens signatur stämmer – det gör den oftast – utan om plattformen separat upprätthåller vilken tenant, vilket repository, vilken sökväg och vilket verb tokenen får beröra. Validering av signatur och utfärdare besvarar ”vem utfärdade detta?” och ”har det manipulerats?”. De besvarar inte ”vad får detta göra?”. Be varje leverantör, inklusive JFrog, att demonstrera omfattningskontroll och loggning av nekade försök med bevis från icke-produktionsmiljö innan ett patchat versionsnummer behandlas som slutet på granskningen.

Vad du bör kontrollera igen efter patchning

• Uppdatera till en åtgärdad Artifactory-version – 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 eller 7.111.21 – matchad mot den aktuella grenen.
• Gör en ny granskning av inställningarna för anonym åtkomst och behörigheterna för repository, inte bara versionssträngen.
• Se över token-audience för tjänstkonton och återkalla allt som utfärdats före patchen.
• Bekräfta att gränserna mellan tenants håller under samma omfattningstest som användes för att validera korrigeringen.

Patchen stänger den specifika förbikopplingen; den begränsar inte retroaktivt token som redan var för brett omfattade. Behandla rotation av autentiseringsuppgifter och omfattningsgranskning som en del av åtgärden, inte som en frivillig uppföljning.

Källor: CISA KEV-katalogen, JFrogs säkerhetsbulletiner, SecurityWeek.