Artifactory flaws chained in attacks deploying backdoor malware

攻撃者は、JFrog Artifactoryの「重大」および「高」深刻度の脆弱性を悪用し、認証を迂回して管理者権限を取得し、脆弱性のある自己管理型サーバーにRust製のバックドアを展開しています。

クラウドセキュリティ企業Wizの新たな報告書によると、CVE-2026-42018とCVE-2026-42016を組み合わせたエクスプロイトチェーンを含め、複数の環境で悪用が確認されました。

3つ目の脆弱性はCVE-2026-82329で、これは重大な認証バイパス脆弱性であり、攻撃的セキュリティ企業watchTowrは今月初め、この脆弱性が悪用されて管理者トークンが発行されているのを観測しました。

Wizによると、攻撃者はCVE-2026-42018を悪用し、匿名アクセスが無効化されている場合でも、低い権限でArtifactoryの内部匿名ユーザーに属するJSON Web Token（JWT）を取得します。

その後、トークンの検証が不十分であることに起因するCVE-2026-42016を悪用して、権限を管理者レベルまで引き上げます。

8月15日から9月8日にかけて、複数の脅威アクターがこれら2つの脆弱性を悪用し、内部の匿名ユーザー用のJWTを取得した後、それを管理者スコープのトークンと交換しました。

研究者らは、場合によっては攻撃者が5分もかからずに管理者アカウントを作成していたと指摘しています。

管理者アカウントを作成し、有効期間の長いアクセストークンを生成した後、攻撃者は悪意のある Groovy プラグインをインストールして任意のコマンドを実行し、Rust ベースのバックドアを展開することで持続性を確立した。

「2026年8月15日から9月8日にかけて、複数の攻撃者がセルフホスト型のArtifactoryインスタンスに対して、CVE-2026-42018とCVE-2026-42016を組み合わせて攻撃しているのを確認しました」とWizは述べています。

「複数の事例において、C2機能を備えたカスタムRustバックドアがドロップされているのを確認しました。」

次の段階では、攻撃者は追加のペイロードを/dev/shm、/tmp、および/var/tmp にダウンロードし、ウェブシェルをアップロードし、Artifactory の設定データとクラスター参加キーを盗み出し、リポジトリ、トークン、ユーザーを列挙し、新しく作成されたアカウントに自身の SSH キーを追加しました。

Wizは、アクセス可能なArtifactoryインスタンスの49％から62％が、これら3つの脆弱性のうち少なくとも1つに対して脆弱であると警告している。

システム管理者は、直ちに以下の Artifactory リリースバージョンまたはそれ以降のバージョンにアップグレードすることを推奨されます：

  • 7.111.21
  • 7.117.28
  • 7.125.20
  • 7.133.29
  • 7.146.38
  • 7.161.20

アップグレード後は、インターネットに公開されているインスタンスについて、予期しないトークンの作成、不正な管理者アカウント、不審なプラグインの活動、および列挙リクエストがないか調査し、アクセスを信頼できるシステムのみに制限してください。

Wizは、防御担当者がこれらの攻撃を迅速に検知できるよう、観測された攻撃に関連する侵害の兆候（IoC）をリストアップしています。

当サイトは、報告された活動について確認するためJFrogに連絡を取りましたが、本記事の公開時点では回答を得られていません。