Уязвимость в JFrog Artifactory начали использовать для выпуска токенов администратора

Злоумышленники начали использовать критическую уязвимость CVE-2026-82329 в JFrog Artifactory для создания токенов с правами администратора и сбора сведений о конфигурации систем. Об этом сообщила компания watchTowr, занимающаяся исследованиями в области кибербезопасности.

CVE-2026-82329 получила оценку 9,8 из 10 по шкале CVSS. Это ошибка обхода аутентификации: при стандартной конфигурации неавторизованный атакующий, имеющий сетевой доступ к Artifactory, может получить административные привилегии. Взаимодействие с пользователем для атаки не требуется.

Проблема находится в компоненте JFrog Access, который выдаёт и проверяет учётные данные. По данным watchTowr, экземпляры без дополнительно настроенного join key получают «фантомный» ключ, который можно использовать для подделки доступа и выпуска учётных данных уровня администратора.

Наблюдаемая активность включает создание административных токенов, а также перечисление пользователей, групп, наборов учётных данных и топологии федеративного доступа. Получив права администратора в системе управления цепочкой поставки ПО, атакующие могут вмешаться в процессы сборки и доставки программного обеспечения, а также попытаться распространить вредоносные изменения дальше по инфраструктуре.

JFrog исправила ошибку в Artifactory 7.161.20, выпущенной 28 августа 2026 года. Уязвимыми названы версии 7.161.0–7.161.19, 7.146.0–7.146.36, 7.133.0–7.133.28, 7.125.0–7.125.19, 7.117.0–7.117.27 и 7.111.4–7.111.21.

Администраторам самостоятельно развёрнутых экземпляров Artifactory, особенно доступных из интернета, рекомендовано срочно установить обновления, проверить журналы аудита, сменить потенциально раскрытые учётные данные и изучить подключённые системы на предмет несанкционированных изменений или сохранённого доступа.