Atakujący łączą dwie luki w JFrog Artifactory i przejmują konto administratora

Wiz opisał ataki na samodzielnie utrzymywane serwery JFrog Artifactory, czyli repozytorium, z którego procesy budowania oprogramowania pobierają pakiety. Między 15 sierpnia a 8 września atakujący łączyli dwie luki: CVE-2026-42016 i CVE-2026-42018. W części przypadków od pierwszego żądania do nowego konta administratora mijało mniej niż 5 minut. JFrog załatał obie luki wcześniej, więc narażone były tylko serwery bez aktualizacji.

We wszystkich przypadkach, które widział Wiz, schemat był podobny. Żądanie bez uwierzytelnienia zwracało token wewnętrznego użytkownika anonimowego, a atakujący wymieniał go na token z uprawnieniami administratora. Działania wykonane tym tokenem trafiają do logów jako token:anonymous, a nie pod nazwą konkretnego konta. Atakujący zakładali konta administratorów, instalowali złośliwe wtyczki Groovy, które pozwalały wykonywać kod na serwerze, i pobierali program otwierający kanał sterowania.

Łańcuch działa tylko na wersjach podatnych na obie luki, więc zamknięcie jednej z nich go przerywa. Poprawkę dla CVE-2026-42018 JFrog wydał 28 kwietnia w gałęzi 7.146 i 12 sierpnia w gałęzi 7.133. Według Wiz ślady włamania to działania administracyjne zapisane jako token:anonymous i nieznane konta administratorów.