Artifactory : deux failles pour devenir admin

Ce qui se passe

Wiz a vu des attaquants prendre le contrôle administrateur de serveurs JFrog Artifactory auto-hébergés entre le 15 août et le 8 septembre, et y laisser des portes dérobées. Aucune des deux failles utilisées ne donne ce contrôle à elle seule :

• CVE-2026-42018 : Artifactory remet un jeton d'utilisateur anonyme interne à un appelant qui ne s'est pas authentifié, même quand l'accès anonyme est désactivé.
• CVE-2026-42016 : ce jeton peu privilégié s'échange contre un jeton de portée administrateur, parce qu'Artifactory vérifie la signature du jeton et son émetteur, mais pas ce qu'il a le droit de faire.

Dans certains cas observés, moins de cinq minutes séparent la première requête de la création d'un compte administrateur.

Un troisième défaut du même rapport, CVE-2026-82329 (CVSS 9.8), est un contournement d'authentification qui suffit seul, sur la configuration par défaut, jusqu'à la branche 7.161. Il a été exploité séparément du 1er au 8 septembre — Fastly a compté environ 406 000 tentatives sur sa plateforme pour la seule journée du 2 septembre.

Ce que ça change

Artifactory est le dépôt d'où vos chaînes de compilation tirent leurs dépendances. Avec les droits d'administrateur, les attaquants ont installé des plugins Groovy malveillants — donc de l'exécution de code sur le serveur —, lancé des commandes shell via le point d'exécution des plugins, et déposé un téléchargeur qui récupérait un binaire en HTTP dans un répertoire ouvert en écriture comme /tmp avant d'ouvrir un canal de commande. Wiz a aussi vu une porte dérobée écrite en Rust. Sur les serveurs pris par CVE-2026-82329, ils ont lu la configuration système et, plusieurs fois, emporté la cluster join key, le secret partagé qui autorise un nœud à rejoindre le cluster.

Le détail qui fait mal est ailleurs : le jeton administrateur conserve le nom d'utilisateur anonyme. Les actions apparaissent dans les journaux sous token:anonymous, pas sous un compte nommé.

Comment s'y prendre

Passez à la version corrigée de votre branche, listées dans les avis JFrog. Les instances cloud ne sont pas concernées.

Attention à la ligne du milieu : JFrog ne publie qu'une seule version corrigée pour CVE-2026-42016, la 7.133.11, sans dire si une version plus récente d'une branche plus ancienne la ferme également. Les branches 7.146 et 7.161 sortent de sa plage déclarée.

La mise à jour ne défait rien. Les comptes administrateur créés restent en place, et les jetons déjà émis ne sont pas révoqués. Fastly recommande de faire tourner la join key de la plateforme, de révoquer les jetons d'accès délivrés depuis le 28 août, et de relire comptes, dépôts et changements de configuration.

Pour chercher : un compte peu privilégié — en particulier l'utilisateur anonyme interne — qui crée des jetons, liste des utilisateurs ou lit et écrit des plugins. Puis les comptes administrateur que personne n'a créés. Ceux qu'a vus Wiz portent des noms de démonstration comme 0xTerror, des préfixes suivis de caractères aléatoires (svc_, labadmin_), ou se fondent dans le décor (jfrog-distribution, jfrog-insight, repo-service).

Source : The Hacker News, rapport d'origine : Wiz.