Instancias autoalojadas de JFrog Artifactory han sido objeto de ataques que combinan múltiples vulnerabilidades para escalar desde solicitudes sin autenticación hasta privilegios administrativos. Los objetivos de estos ataques incluyen establecer persistencia, desplegar backdoors y potencialmente comprometer la cadena de suministro de software.
Entre el 15 de agosto y el 8 de septiembre de 2026, varias instancias autoalojadas de JFrog Artifactory sufrieron intrusiones que resultaron en control administrativo, creación de cuentas persistentes e instalación de backdoors. En algunos casos documentados, el acceso inicial se convirtió en privilegios de administrador en menos de cinco minutos.
El primer vector de ataque aprovecha la combinación de CVE-2026-42018 y CVE-2026-42016. La vulnerabilidad CVE-2026-42018 permite obtener un token interno asociado al usuario anónimo sin necesidad de autenticarse, incluso cuando el acceso anónimo está deshabilitado. Posteriormente, CVE-2026-42016 facilita la elevación de un token de bajo privilegio a otro con permisos administrativos, ya que la validación verifica la firma y el emisor del token, pero no su alcance real.
Esta escalada tiene una implicación adicional: ciertas operaciones administrativas pueden registrarse en los logs como token:anonymous en lugar de una cuenta específica, lo que dificulta el análisis forense y puede retrasar la detección de intrusiones, especialmente en servidores expuestos a Internet que gestionan repositorios críticos.
Los atacantes han aprovechado el ecosistema de Artifactory para consolidar su presencia. Instalaron plugins Groovy maliciosos mediante el framework de extensiones, permitiendo ejecución de código en el servidor. Desde allí ejecutaron comandos de shell a través de un endpoint de ejecución de plugins para realizar reconocimiento y enumeración de archivos. También se identificó un dropper que descarga binarios por HTTP, los deposita en directorios de escritura global como /tmp y establece canales de comando y control. En varios incidentes, la cadena de ataque culminó con la implantación de un backdoor en Rust diseñado para control remoto.
De forma independiente, se explotó CVE-2026-82329 entre el 1 y el 8 de septiembre de 2026. Esta vulnerabilidad, clasificada como bypass crítico de autenticación con puntuación CVSS 9.8, permite obtener privilegios administrativos sin necesidad de encadenar otros fallos y afecta especialmente configuraciones por defecto en Artifactory autoalojado. Los ataques observados incluyen creación de tokens administrativos y enumeración de usuarios, grupos y conjuntos de credenciales, patrones consistentes con preparativos para persistencia y movimientos laterales.
La actualización es la medida de prioridad. Los parches para CVE-2026-82329 están disponibles en las versiones 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 y 7.161.20 dentro de la rama 7.x. Para la combinación de CVE-2026-42018 y CVE-2026-42016, es suficiente corregir al menos una de las dos vulnerabilidades para interrumpir el ataque, aunque se recomienda aplicar todos los parches disponibles con énfasis en instancias expuestas a Internet.
Si la actualización no es inmediata, existe una medida de contención rápida para CVE-2026-82329: configurar una extra join key aleatoria en system.yaml. Sin embargo, se recomienda proceder como si el servidor ya estuviera comprometido: revisar los audit logs para identificar acciones administrativas asociadas a token:anonymous y creación de cuentas con privilegios elevados, rotar credenciales y tokens potencialmente expuestos, y auditar cambios en usuarios, grupos y configuraciones de acceso federado.
Los controles técnicos deben ir más allá de la aplicación. Es necesario inspeccionar el entorno para detectar plugins Groovy no autorizados y eliminar extensiones sospechosas, además de verificar el sistema de archivos y tareas programadas en busca de binarios en directorios como /tmp e indicadores de persistencia o conexiones de comando y control. Un aspecto especialmente crítico para equipos DevOps es verificar la integridad de repositorios y artefactos importantes y reforzar los controles en publicación y promoción dentro de la cadena CI/CD, dado que un Artifactory comprometido no solo puede exponer secretos, sino también servir como punto de inyección de componentes maliciosos en software legítimo.
Con Información de unaaldia.hispasec.com
