Атакуващи свързват уязвимости в JFrog Artifactory, за да получат администраторски контрол и да инсталират задни врати

Атакуващи са свързали две уязвимости в JFrog Artifactory — хранилището, от което системите за автоматизирано изграждане на софтуер изтеглят компоненти, за да поемат администраторски контрол над самостоятелно хоствани сървъри и да инсталират задни врати, съобщава компанията за облачна сигурност Wiz в своя доклад.

От Wiz са засекли атаките между 15 август и 8 септември. JFrog вече е отстранила и двете уязвимости преди този период, така че засегнати са били само сървъри, на които не са били инсталирани корекции за сигурност.

Нито една от уязвимостите не предоставя администраторски контрол сама по себе си.

• CVE-2026-42018 кара Artifactory да предаде вътрешен токен за анонимен потребител на потребител, който не е влязъл в системата, дори когато анонимният достъп е изключен.
• CVE-2026-42016 след това позволява този токен с ниски привилегии да бъде заменен с токен с администраторски права, тъй като Artifactory проверява подписа на токена и кой го е издал, но не и какво има право да прави той.

Всеки случай, наблюдаван от Wiz, следва подобен модел. Атакуващият изпраща неавтентикирана заявка към крайна точка за токени и получава токен за вътрешния анонимен потребител, след което го заменя в крайната точка за създаване на токени на Artifactory срещу токен с администраторски обхват.

Този втори токен запазва потребителското име anonymous. Администраторските действия, извършени с него, се появяват в логовете като token:anonymous, а не под името на конкретен акаунт.

В някои случаи атакуващият преминава от първата заявка до нов администраторски акаунт за по-малко от пет минути.

Веригата за атака засяга по-тесен набор от инсталации в сравнение с всяка уязвимост поотделно. Даден сървър трябва да бъде засегнат и от двете, така че отстраняването на която и да е от тях прекъсва веригата. В публикуваните от JFrog обхвати CVE-2026-42016 приключва при версия 7.133.11, оставяйки клоновете 7.146 и 7.161 извън този обхват.

JFrog пусна корекцията за сигурност за CVE-2026-42018 за клона 7.146 на 28 април и за клона 7.133 на 12 август — три дни преди да започнат атаките, засечени от Wiz.

Действията на атакуващите с администраторски права варират. От Wiz посочват, че нито един единичен злонамерен субект не е извършил всички наблюдавани стъпки.

В компрометираните сървъри киберпрестъпниците са създавали администраторски акаунти и са ги оставяли активни. Те също така са инсталирали зловредни плъгини на Groovy чрез рамката за плъгини на Artifactory, осигурявайки си изпълнение на код върху сървъра. Някои от тях са изпълнявали shell команди през крайната точка за изпълнение на плъгини, за да проучват и изброяват файлове.

Дропър е изтеглял бинарен файл през HTTP, записвал го е в директория с права за запис от всички (като /tmp) и е отварял канал за командване и контрол (C2). От Wiz заявяват, че в множество случаи са засекли и внедряване на персонализирана задна врата, написана на Rust, с функции за командване и контрол.

Трета уязвимост в Artifactory, описана в същия доклад — CVE-2026-82329, е била експлоатирана отделно между 1 и 8 септември и тя е причината сървър от по-нов клон все още да може да бъде засегнат.

Това е критична уязвимост за заобикаляне на автентикацията с оценка 9.8 по скалата CVSS, която се цели в конфигурацията по подразбиране на Artifactory и не изисква допълнителна уязвимост. Неавтентикиран атакуващ с мрежов достъп може да получи администраторски привилегии само чрез нея в шест версии на софтуера до 7.161.

The Hacker News съобщи на 1 септември, че атакуващите са започнали да генерират администраторски токени за себе си чрез тази уязвимост дни след като JFrog я разкри. CISA я добави в своя каталог с познати експлоатирани уязвимости на 2 септември и постави краен срок 5 септември за федералните агенции.

Мрежата за доставяне на съдържание Fastly заяви в анализ, че публичен експлойт се е появил на 1 септември, последван от сканирания. Компанията е отчела около 406 000 опита за експлоатация през своята платформа на 2 септември — най-натовареният ѝ ден. Това са опити, наблюдавани в трафика, а не успешни пробиви.

На сървъри, завзети чрез тази уязвимост, Wiz забелязва, че атакуващите четат системната конфигурация и в няколко случая вземат ключа за присъединяване към клъстер (cluster join key) — споделената тайна, която възлите на Artifactory използват, за да се регистрират един спрямо друг.

Какво трябва да се инсталира

Обновете самостоятелно хоствания Artifactory до коригираната версия за вашия клон, посочена в бюлетините за сигурност на JFrog. От JFrog заявяват, че за облачните инстанции не се изискват действия.

JFrog посочва една коригирана версия за CVE-2026-42016 (7.133.11) и няма отделна корекция за всеки клон. В бюлетина не се споменава дали по-нова версия на по-стар клон, като 7.117.28, също отстранява уязвимостта. The Hacker News е отправил запитване към JFrog по този въпрос, както и към Wiz относно версиите, използвани на компрометираните сървъри.

За CVE-2026-82329 JFrog публикува временно решение за организации, които не могат бързо да инсталират обновяване: да генерират случайна стойност и да я добавят като допълнителен join key в system.yaml, така че при регистрация на услуга да се приемат само вашите собствени ключове.

Няма временно решение за веригата от две уязвимости в нито един от консултираните бюлетини или доклади.

Какво инсталирането на корекции за сигурност не отменя

Администраторските акаунти, създадени от атакуващите, не изчезват при обновяване на софтуера. Wiz потвърждава, че такива са създавани както чрез веригата от две уязвимости, така и чрез CVE-2026-82329.

Относно CVE-2026-82329 Fastly препоръчва всеки изложен сървър да се третира като компрометиран. „Корекцията за сигурност не анулира вече издадените токени“, заявяват от компанията.

Обновяването също така не променя join key, който атакуващите вече са откраднали. Fastly препоръчва подмяна на платформата join key, анулиране на токените за достъп, издадени след 28 август, и преглед на администраторските акаунти, хранилищата и промените в конфигурацията.

Как да проверите

Най-ясният сигнал е акаунт, който извършва действия, недопустими за неговите привилегии: вътрешният анонимен потребител или акаунт с ниски привилегии, който създава токени, изброява потребители или чете и записва плъгини.

След това потърсете администраторски акаунти, които никой не е създавал умишлено. Повечето от наблюдаваните от Wiz носят имена от тип proof-of-concept (доказателство за концепция) като 0xTerror или svc_ и labadmin_, последвани от случайни знаци. Някои са били създадени с цел да се сливат с легитимните, с имена като jfrog-distribution, jfrog-insight и repo-service. Докладът на Wiz съдържа списък с адреси на атакуващите и хеш на злонамерения код.

CVE-2026-42016 беше публикувана на 27 юли като част от пакет от бюлетини за Artifactory, няколко от които отдават заслуга на изследователи от OpenAI, включително и тази. The Hacker News съобщи през юли, че JFrog е потвърдила, че модели на OpenAI са експлоатирали zero-day уязвимост в Artifactory по време на вътрешна оценка, като нито една от двете компании не е посочила кои CVE записи съответстват на използваните уязвимости.