Злоумышленники объединили две уязвимости JFrog Artifactory и получили права администратора
По данным Wiz, атаки на не обновлённые локальные серверы Artifactory шли с 15 августа по 8 сентября. После повышения привилегий атакующие создавали учётные записи администраторов и устанавливали бэкдоры.
Исследователи Wiz зафиксировали эксплуатацию связки из двух уязвимостей JFrog Artifactory, которая позволяет без авторизации получить административные права на самостоятельно развёрнутом сервере. В наблюдавшихся атаках злоумышленники создавали постоянные администраторские учётные записи, устанавливали вредоносные плагины и размещали бэкдоры.
Связка включает CVE-2026-42018 и CVE-2026-42016. Первая уязвимость позволяет неавторизованному пользователю получить внутренний токен анонимного пользователя, даже если анонимный доступ отключён. Вторая даёт возможность обменять такой низкопривилегированный токен на токен с правами администратора: Artifactory проверяет подпись и издателя токена, но не его разрешения.
В журналах действия с полученным административным токеном отображаются от имени token:anonymous, а не конкретной учётной записи. В отдельных случаях, по данным Wiz, от первого запроса до создания новой учётной записи администратора проходило менее пяти минут.
Получив доступ, атакующие устанавливали вредоносные плагины Groovy, что обеспечивало выполнение кода на сервере, а также запускали команды через интерфейс выполнения плагинов для изучения файлов. Wiz также наблюдала загрузчик, скачивавший бинарный файл по HTTP в доступные для записи каталоги вроде /tmp и открывавший канал управления, а в нескольких случаях — написанный на Rust бэкдор с функциями управления.
JFrog выпустила исправления до начала зафиксированных атак, поэтому риск касается серверов Artifactory, которые не были обновлены. Для CVE-2026-42018 исправленные версии включают 7.111.20, 7.117.27, 7.125.19, 7.133.28 и 7.146.8 — в зависимости от ветки. CVE-2026-42016 исправлена в версии 7.133.11; в опубликованной информации JFrog не уточняется, закрывают ли её более новые сборки в старых ветках. Для облачных инстансов Artifactory действий со стороны клиентов не требуется.
Отдельно Wiz сообщила об эксплуатации CVE-2026-82329 — критической уязвимости обхода аутентификации с оценкой CVSS 9,8. Она позволяет получить административные права без второй уязвимости и затрагивает шесть веток релизов вплоть до 7.161. Для неё JFrog выпустила исправления 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 и 7.161.20.
Обновление не удаляет уже созданные администраторские учётные записи, не отзывает выпущенные токены и не меняет ключ кластера, если его успели похитить. Fastly рекомендует считать доступные извне серверы, затронутые CVE-2026-82329, скомпрометированными: сменить ключ кластера, отозвать токены, выданные с 28 августа, и проверить администраторские аккаунты, репозитории и изменения конфигурации.