JFrog Artifactory CVE-2026-82329: Auth Bypass CVSS 9.8 Dieksploitasi dalam 4 Hari

JFrog Artifactory CVE-2026-82329: Auth Bypass CVSS 9.8 Dieksploitasi dalam 4 Hari

Instance Artifactory anda mungkin sudah compromise — dan anda tak tahu. CVE-2026-82329, authentication bypass kritikal dalam JFrog Artifactory, pergi dari patch kepada aktif eksploitasi dalam kira-kira empat hari (~96 jam). Penyerah sedang cipta admin token pada instance yang belum di-patch sekarang. Kalau anda jalan Artifactory self-hosted, ini bukan fix untuk "next sprint." Ini situasi drop-everything.

Apa Sebenarnya yang CVE-2026-82329 Buat

Vulnerability ini diklasifikasikan sebagai CWE-287 (Improper Authentication). Di bawah konfigurasi default Artifactory, penyerah tanpa kelayakan yang ada akses network boleh bypass mekanisme authentication dan dapatkan admin token penuh. Tak perlukan credentials. Tak perlukan user interaction. Tak perlu phishing. Cukup akses network ke instance.

CVSS v3.1 vector ceritakan keseluruhan cerita:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

• Attack Vector: Network
• Attack Complexity: Low
• Privileges Required: None
• User Interaction: None
• Confidentiality/Integrity/Availability: Semua High

Itu 9.8 daripada 10. Satu-satunya benda yang halang skor sempurna 10 ialah scope unchanged.

Cara Bypass Ni Berfungsi

Artifactory keluarkan access tokens untuk API authentication merentasi REST interface — interface yang sama yang CI/CD pipeline guna untuk push dan pull package. Bug ni benarkan caller tanpa kelayakan trigger token-issuing logic dengan cara yang return admin-scoped token sebaliknya gagalkan request.

Bila penyerah dah pegang admin token yang valid, mereka boleh:

• Cipta user privileged baru
• Ubah repository permission
• Tarik proprietary source code dari private repository
• Push package yang modified atau backdoor ke dalam edaran
• Padam atau rosakkan build artifact

Serangan ni satu HTTP request sahaja. Tak perlu exploit chain. Tak perlu privilege escalation steps. Tak perlu memory corruption. Ini logic error dalam authentication code, dan benda-benda macam ni biasanya ditemui oleh automated scanner dalam beberapa hari selepas patch keluar.

Versi Yang Terjejas

Enam release branch bawa flaw ini. Kalau anda tak pernah track patch version secara khusus, anda mungkin tengah jalan versi yang terjejas:

Versi Artifactory yang terjejas (CVE-2026-82329):
7.161.0  → 7.161.19
7.146.0  → bawah 7.146.38
7.133.0  → 7.133.28
7.125.0  → 7.125.19
7.117.0  → 7.117.27
7.111.4  → 7.111.21

Versi tetap: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20 (dikeluarkan 28 Ogos, 2026)

Pelanggan Artifactory cloud-hosted di-patch secara automatik oleh JFrog. Deployment self-hosted kena patch manual — dan di situlah eksploitasi berlaku.

Garis Masa: Patch ke Eksploitasi dalam ~96 Jam

Point terakhir tu worth noting. CISA's Known Exploited Vulnerabilities catalog wujud untuk flag vulnerability yang agensi federal kena remediate dengan cepat. CISA masukkan flaw ni sehari selepas laporan eksploitasi terbuka, dengan tarikh akhir 5 September — pantas mengikut piawaian birokrasi, masih empat hari selepas patch. Kira-kira empat hari dari patch ke eksploitasi duduk sedikit melebihi tempoh 72 jam yang diberi PDPA Malaysia untuk memaklumkan Pesuruhjaya — peraturan 72 jam.

Kenapa Benda Ni Penting: Software Supply Chain dalam Bahaya

Artifactory duduk di tengah-tengah software supply chain. Dia simpan build artifact, container image, npm module, PyPI wheel, Maven jar, NuGet package, dan Helm chart. Enterprise guna dia sebagai single source of truth untuk apa yang deploy ke production.

Penyerah dengan admin access ke Artifactory boleh:

1. Racuni package — Tukar trusted internal package dengan versi yang di-backdoor
2. Curi secrets — Tarik proprietary source code dan build secret dari private repo
3. Pivot downstream — Setiap build yang resolve dependency yang ditampered akan warisi backdoor
4. Tutup jejak — Ubah audit log dan artifact checksum supaya nampak konsisten secara dalaman

Ini kategori risiko yang sama yang drive insiden SolarWinds, Codecov, dan XZ Utils. Perbezaannya: CVE-2026-82329 target registry infrastructure itu sendiri, bukan satu package. Untuk cerita selari dalam infrastructure geospatial, lihat gelombang kelemahan ArcGIS.

Pengesanan: Instance Anda Compromise Ke?

Semak access dan audit log Artifactory untuk indicator ini:

Indicator compromise:
- Admin-scoped token yang dicipta sejak 28 Ogos, 2026 dari sumber tak dikenali
- Repository permission changes di luar window change normal
- Artifact upload atau overwrite yang tak dijangka
- Authentication attempt terhadap admin endpoint dari IP tak dikenali
- User account baru dengan admin privileges

Sebab eksploitasi tak perlukan user interaction, tak ada email phishing atau lampiran berbahaya untuk dicari. Keseluruhan serangan duduk dalam access dan audit trail Artifactory sendiri.

Pemulihan: Step-by-Step

Step 1: Upgrade Segera

Pilih patch version yang match release branch anda:

# Semak versi semasa
curl -u admin:password https://your-artifactory/api/system/ping

# Atau semak UI: Administration → Platform → Runtime Info

# Download dan apply fix untuk branch anda
# Untuk branch 7.161.x:
wget https://releases.jfrog.io/artifactory/artifactory-pro/org/artifactory/artifactory-server/7.161.20/artifactory-server-7.161.20.zip

# Stop Artifactory
sudo systemctl stop artifactory

# Backup installation semasa
cp -r /opt/jfrog/artifactory /opt/jfrog/artifactory-backup-$(date +%Y%m%d)

# Extract versi baru
unzip artifactory-server-7.161.20.zip -d /opt/jfrog/

# Start Artifactory
sudo systemctl start artifactory

# Sahkan versi
curl -u admin:password https://your-artifactory/api/system/ping

Step 2: Rotate Semua Admin Token

Patch tutup pintu. Dia TAK invalidate token yang penyerah dah cipta.

# Senarai semua token
curl -u admin:password https://your-artifactory/api/security/tokens

# Revoke token yang anda tak kenal
curl -u admin:password -X POST \
  https://your-artifactory/api/security/tokens/{token-id} \
  -H "Content-Type: application/json" \
  -d '{"token_id": "suspicious-token-id"}'

# Atau revoke SEMUA token dan regenerate dari mula (disyorkan)
curl -u admin:password -X DELETE \
  https://your-artifactory/api/security/tokens

Step 3: Audit Repository Permissions

# Semak perubahan permission
curl -u admin:password https://your-artifactory/api/security/permissions | jq '.[] | select(.name | contains("admin"))'

# Cari permission baru atau yang diubah selepas 28 Ogos
# Revoke unauthorized permission segera

Step 4: Hadkan Akses Network

Gerakkan admin endpoint Artifactory ke belakang VPN atau IP allowlist:

# contoh nginx: hadkan /api/security kepada trusted IP sahaja
location /api/security {
    allow 10.0.0.0/8;
    allow 192.168.0.0/16;
    deny all;
    
    proxy_pass http://artifactory:8081;
}

Step 5: Aktifkan Logging Dipertingkat

<!-- $ARTIFACTY_HOME/etc/logback.xml -->
<!-- Tambah verbose audit logging untuk auth dan token event -->
<logger name="org.artifactory.security" level="DEBUG"/>
<logger name="org.artifactory.token" level="DEBUG"/>

Step 6: Sahkan Fix

# Sahkan versi patched
curl -u admin:password https://your-artifactory/api/system/ping | jq '.version'

# Patut return 7.161.20 atau lebih tinggi

# Test yang auth bypass dah diblock
curl -v https://your-artifactory/api/security/tokens
# Patut return 401 Unauthorized (bukan admin tokens)

Perbandingan: CVE-2026-82329 vs Lain-Lain Supply Chain Flaws 2026

| Vulnerability | CVSS | Jenis | Dieksploitasi | | --- | --- | --- | | CVE-2026-82329 (JFrog Artifactory) | 9.8 | Auth bypass, admin token minting | Ya, disahkan 1 Sept | | CVE-2026-66384 (JFrog Artifactory) | 5.3 | Path traversal | CISA KEV 27 Ogos | | CVE-2026-68820 (Windows AFD.sys) | 7.0 | Kernel use-after-free | Ya, Lazarus Group | | Virtualizor BGP hijack | N/A | Route hijack, malicious updates | Ya, 33 jam |

Dua JFrog advisory dalam satu minggu ialah clustering yang agak ketat. Ia suggest sama ada coordinated internal security review jumpa beberapa isu sekaligus, atau penyelidik luar sedang probe produk yang sama secara parallel.

Apa Yang Security Team Patut Buat Sekarang

1. Sahkan versi anda — Semak Administration → Platform → Runtime Info
2. Patch hari ini — Bukan maintenance window seterusnya, hari ini
3. Rotate admin token — Terutama apa-apa yang dicipta selepas 28 Ogos
4. Audit access log — Cari token creation event yang mencurigakan
5. Hadkan akses network — Admin endpoint tak sepatutnya terdedah ke internet
6. Semak artifact integrity — Bandingkan package yang baru diubah dengan checksum yang diketahui baik

Window antara disclosure dan eksploitasi semakin mengecil. Anggap tarikh release vendor sebagai deadline sebenar, bukan cadangan.

Sumber

• JFrog Security Advisories
• JFrog Artifactory Self-Managed Releases
• WatchTowr: Critical JFrog Artifactory Vulnerability Exploited
• NVD: CVE-2026-82329
• The Hacker News: Attackers Exploit Critical JFrog Artifactory Bug