Artifactory三漏洞在野利用

JFrog Artifactory 高危漏洞：攻击者 5 分钟获取管理员权限，软件供应链面临严峻考验

9月28日，InfoQ 援引 Wiz Research 最新报告指出，JFrog Artifactory 存在的三个高危漏洞正被攻击者组合利用。在互联网暴露的自建 Artifactory 实例上，攻击者可在 5 分钟内获取管理员权限。这标志着作为软件供应链“信任锚”的核心组件正面临批量攻破风险。

Artifactory 是企业 CI/CD 流水线中存储 jar、npm、Docker 镜像及 Helm chart 等制品的关键枢纽。一旦失守，风险将沿构建、测试至生产环境全链路蔓延。Wiz 警告：“若实例在漏洞暴露期间可被访问，应直接按已被入侵处理。”

漏洞机制与攻击路径解析

此次涉及的三个漏洞分工明确，形成完整的攻击链条：

• CVE-2026-42018：即便关闭匿名访问，攻击者仍可获取内部 anonymous 用户的 JWT。
• CVE-2026-42016：利用 Token 范围校验缺陷，将低权限 Token 升级为 admin-scoped Token。
• CVE-2026-82329：通过向 /access/api/v1/registry/join 发送未认证请求，直接获取管理员令牌。

上述路径均导致攻击者以 token:anonymous 身份在系统中横行，从发起恶意请求到创建持久化管理员账户，耗时不到 5 分钟。

供应链攻击特征显著

获取管理员权限后，攻击行为呈现典型的供应链攻击特征：

• 创建伪装成 jfrog-pipeline、backup-service 等名义的管理员账户；
• 部署恶意 Groovy 插件以实现代码执行；
• 导出配置并窃取 Access 签名密钥；
• 植入 Rust 后门维持长期访问。

值得注意的是，恶意插件 JFrogImage.groovy 可将 LDAP、Crowd 及远程仓库凭据解密为明文，并通过 HTTP 500 错误信息回传数据，从而绕过仅监控 2xx 响应的检测规则。

补丁升级并非万能，需彻底清除后门

Wiz 强调，仅升级版本无法驱逐已入侵的攻击者。恶意管理员账户和 Groovy 插件在重启后依然存活，且被窃取的 Access 签名密钥（private.key）允许攻击者在打补丁后继续伪造有效 Token。若不同时重置密钥、排查插件目录及审计管理员账户，系统安全等同于虚设。

暴露面广，修复滞后

数据显示，CVE-2026-42016、CVE-2026-42018 及 CVE-2026-82329 披露时，分别有 67%、69% 和 67% 的组织存在至少一个漏洞实例。尽管漏洞已披露数周，仍有约 60% 的组织未完成补丁修复。相较于公网 Web 应用，内部基础设施的补丁优先级往往被低估，但 Artifactory 失陷带来的爆炸半径更大。

企业应急响应建议

针对当前局势，企业安全团队应采取以下具体措施：

1. 资产排查：确认自建 Artifactory 是否暴露于互联网，并核对版本是否在受影响范围内。
2. 版本升级：升级至官方修复版本（7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20 或更高）。
3. 入侵排查：若实例曾在漏洞窗口期被访问，需检查 $JFROG_HOME/var/etc/artifactory/plugins/ 目录下可疑 Groovy 文件，审计新增管理员账户及 token:anonymous 相关日志。
4. 密钥轮换：重置 Access 签名密钥，轮换所有相关凭据。
5. 完整性审计：审查从该仓库拉取的关键制品摘要，确认未被篡改。

此次事件警示企业，Artifactory 等内部基础设施实为软件供应链起点。当攻击焦点转向构建工具和制品库时，“内部系统”不应再成为推迟安全修补的理由。