Rantaian Flaw Artifactory: Admin dalam 5 Minit, Rust Backdoor

Rantaian Flaw Artifactory: Admin dalam 5 Minit, Rust Backdoor

Kalau JFrog Artifactory anda self-hosted dan berjalan pada build yang belum ditampal antara pertengahan Ogos hingga awal September 2026, anggap ia sudah ditembusi. Syarikat keselamatan cloud Wiz menerbitkan laporan pada 11 September yang mendokumenkan eksploitasi in-the-wild terhadap tiga flaw Artifactory — dengan pelbagai aktor merantai dua daripadanya untuk pergi daripada permintaan tanpa authentication terus kepada Rust backdoor dengan command-and-control dalam beberapa minit sahaja.

Antara 15 Ogos dan 8 September 2026, Wiz memerhatikan penyerang merantai CVE-2026-42018 dan CVE-2026-42016 terhadap instance self-hosted, dan secara berasingan mengeksploitasi CVE-2026-82329 antara 1 hingga 8 September. Dalam banyak kes, Rust backdoor tersuai dengan keupayaan C2 dijatuhkan ke dalam sistem. Sesetengah persekitaran menyaksikan penyerang bergerak daripada permintaan pertama kepada akaun admin baharu dalam kurang daripada lima minit.

Rantaian dua langkah: dari anonymous ke admin

Kedua-dua flaw yang dirantai ini tidak memberikan kawalan admin secara bersendirian. Digabungkan, ia menukar permintaan tanpa authentication kepada token berskop admin.

CVE-2026-42018: kebocoran anonymous-user

POST tanpa authentication ke endpoint token mengembalikan JSON Web Token milik pengguna anonymous dalaman Artifactory — walaupun anonymous access dimatikan. Token ini berprivilej rendah; hampir tidak bernilai untuk digunakan bersendirian.

CVE-2026-42016: jurang validasi scope

Artifactory mengesahkan tandatangan token dan pencetusnya, tetapi bukan apa yang token itu dibenarkan lakukan. Ini membolehkan token anonymous berprivilej rendah ditukar di endpoint penciptaan token Artifactory kepada token berskop administrator.

Aliran ringkas yang diperhatikan Wiz, endpoint demi endpoint:

# Step 1 — CVE-2026-42018: permintaan tanpa auth mengembalikan JWT
# untuk pengguna anonymous dalaman (200 OK walaupun anonymous access off)
curl -s -X POST https://artifactory.example.com/access/api/v1/aws/token/

# Step 2 — CVE-2026-42016: token berprivilej rendah itu ditukar kepada
# token berskop admin (200 OK, kelihatan dalam log sebagai token:anonymous)
curl -s -X POST https://artifactory.example.com/access/api/v1/tokens \
  -H "Authorization: Bearer $ANON_JWT"

Satu butiran yang menyusahkan untuk dikesan secara retrospektif: token yang dinaik taraf ini mengekalkan nama pengguna anonymous. Tindakan admin yang dijalankan dengannya muncul dalam log sebagai token:anonymous, bukan di bawah akaun bernama — jadi ia tidak segera kelihatan seperti kompromi.

Rantaian ini hanya terjejas pada lingkungan pemasangan yang lebih sempit berbanding setiap flaw secara berasingan. Server perlu terjejas oleh kedua-duanya, jadi menampal salah satu sudah memutuskan rantaian. Dalam julat yang diterbitkan JFrog, CVE-2026-42016 berakhir pada 7.133.11, menjadikan cawangan 7.146 dan 7.161 berada di luar jangkauan serangan khusus ini.

Apa yang penyerang buat dengan akses admin

Wiz menegaskan tiada satu aktor yang melakukan setiap langkah yang dilihatnya — lebih daripada satu kumpulan mengeksploitasi pendedahan yang sama. Walau bagaimanapun, playbook selepas kompromi tetap konsisten:

• Akaun admin kekal dicipta dan dibiarkan
• Groovy plugin berniat jahat dipasang melalui plugin framework asli Artifactory, memberikan arbitrary code execution
• Perintah shell ad-hoc dijalankan melalui endpoint pelaksanaan plugin (/api/plugins/execute/) — reconnaissance dan penyenaraian fail
• Dropper menarik binary melalui HTTP kosong, menulisnya ke laluan boleh-tulis (world-writable) seperti /dev/shm, /tmp, /var/tmp, lalu membuka saluran C2
• Rust backdoor tersuai dengan ciri command-and-control, dijatuhkan dalam beberapa kes
• Webshell sekali-sekala dimuat naik ke laluan repository untuk akses susulan
• Kecurian konfigurasi dan rahsia — membaca konfigurasi sistem dan, dalam beberapa kes, mengambil cluster join key, rahsia kongsi yang digunakan nod Artifactory untuk mendaftar antara satu sama lain
• Enumeration pengguna, repository dan token, serta SSH key dilekatkan pada akaun baharu

Ini mimpi ngeri supply chain secara literal. Artifactory ialah tempat build pipeline mengambil kebergantungan; sesiapa yang memegang admin menentukan apa yang dimakan oleh setiap build downstream. Penyerang boleh menukar pakej yang dipercayai kepada versi beracun dan setiap deployment masa depan mewarisinya. Wiz menganggarkan 49% hingga 62% instance Artifactory yang boleh dicapai internet terdedah kepada sekurang-kurangnya satu daripada tiga flaw ini.

Ini insiden Artifactory kedua dalam tempoh dua minggu — bentuk auth bypass CVE-2026-82329 yang berdiri sendiri pergi daripada tampalan kepada imbasan besar-besaran dalam kira-kira empat hari. Kalau anda sudah baca yang itu, catatan ini ialah bab "apa yang berlaku selepas token dicetak". Untuk corak serangan di peringkat registry yang lebih luas, gelombang kerentanan kritikal ArcGIS juga relevan.

CVE-2026-82329: laluan solo ke destinasi yang sama

Flaw ketiga ini perlu disebut berasingan kerana ia punca kenapa server pada cawangan lebih baharu masih boleh dikompromi. CVE-2026-82329 ialah authentication bypass kritikal bernilai 9.8 pada skala CVSS. Ia wujud dalam konfigurasi lalai Artifactory, tidak memerlukan flaw lain, dan memberikan penyerang tanpa authentication yang mempunyai akses rangkaian hak admin penuh bersendirian — merentas enam cawangan keluaran sehingga 7.161.

Exploit awam muncul pada 1 September dan imbasan segera menyusul; Fastly mengira kira-kira 406,000 percubaan eksploitasi merentas platformnya pada 2 September (percubaan yang diperhatikan dalam trafik, bukan kompromi yang disahkan). CISA memasukkannya ke dalam katalog Known Exploited Vulnerabilities pada 2 September dengan tarikh akhir remediasi 5 September. Pada server yang ditembusi cara ini, Wiz melihat bacaan konfigurasi dan, dalam beberapa kes, kecurian cluster join key.

Pengesanan: apa yang perlu dicari

Isyarat paling jelas ialah identiti berprivilej rendah melakukan perkara yang sepatutnya tidak dibenarkan — pengguna anonymous dalaman mencipta token, menyenaraikan pengguna, atau menyentuh plugin.

# Corak log berisiko tinggi untuk serangan rantaian
grep -E 'anonymous.*(POST|PUT) /access/api/v1/tokens' \
  /opt/jfrog/artifactory/var/log/artifactory-request.log

grep -E '(POST|PUT) /artifactory/api/plugins/(execute|reload)' \
  /opt/jfrog/artifactory/var/log/artifactory-request.log

# Kemudian cari akaun admin yang tidak pernah dicipta sesiapa
# Corak akaun penyerang yang diterbitkan Wiz:
#   svc_[a-zA-Z0-9]{8}      labadmin_[a-zA-Z0-9]{10}
#   Nxploited_[a-zA-Z0-9]{3}
# Nama penyamaran turut kelihatan: repo-service, jfrog-insight,
# jfrog-pipeline, jfrog-distribution, 0xTerror

Untuk mengasingkan insiden sebenar, Wiz mencadangkan begini: mana-mana permintaan ke /access/api/v1/registry/join yang mengembalikan 200/201 tidak cukup bersendirian — korelasikan dengan penciptaan akaun admin (PUT /api/security/users/ → 201), bacaan konfigurasi (GET /api/system/configuration → 200), dan enumeration pengguna/token untuk mengesahkan ia benar-benar eksploitasi, bukan sekadar bunyi hingar.

Pemulihan: naik taraf dahulu, kemudian anggap terkompromi

Inilah bahagian penting yang tampalan sahaja tidak selesaikan. Menampal membuang laluan masuk dan tiada yang lain. Akaun admin ciptaan penyerang tidak hilang selepas update. Token yang sudah dicetak kekal sah. Join key yang sudah disalin masih boleh mengesahkan pada cluster anda. Seperti kata Fastly: satu patch tidak mencabut token yang sudah dicetak.

Urutan operasi yang betul untuk mana-mana instance terdedah:

1. Naik taraf ke build tetap untuk cawangan anda (jadual di atas) — lakukan dulu. Putar rahsia pada server yang masih terdedah cuma menyerahkan kunci baharu anda kepada penyerang.
2. Putar platform join key — penyerang yang mengambilnya boleh mendaftarkan nod haram.
3. Cabut semua token akses yang diterbitkan sejak 28 Ogos 2026.
4. Audit akaun administrator — padam mana-mana yang anda tidak cipta.
5. Bandingkan repository dan konfigurasi dengan garis asas yang diketahui baik; semak artifact yang diubah suai baru-baru ini untuk sebarang gangguan.

Untuk CVE-2026-82329 ada workaround berdaftar jika anda tidak boleh naik taraf hari ini: jana nilai rawak dan tambahkannya sebagai extra join key dalam system.yaml supaya hanya kunci anda sendiri diterima semasa pendaftaran perkhidmatan.

Jika instance anda boleh dicapai dari internet dan berjalan pada build tanpa tampalan dalam tempoh 15 Ogos – 8 September, anggap ia sudah sampai ke tangan penyerang. Kos putaran token dan audit akaun hanyalah kerja satu pagi. Kos penyerang memegang admin pada repository yang build anda ambil daripadanya ialah setiap artifact yang anda hantar selepas itu.

Sumber

• Wiz Research: Artifactory Under Attack — eksploitasi in-the-wild CVE-2026-42016, CVE-2026-42018 & CVE-2026-82329
• BleepingComputer: Artifactory flaws chained in attacks deploying backdoor malware
• The Hacker News: Attackers Chain JFrog Artifactory Flaws to Gain Admin Control and Plant Backdoors
• CISA: Adds seven known exploited vulnerabilities to catalog