CVE-2026-82329

Nome do Software Vulnerável e Versões Afetadas JFrog Artifactory versões anteriores a 7.111.21 JFrog Artifactory versões anteriores a 7.117.28 JFrog Artifactory versões anteriores a 7.125.20 JFrog Artifactory versões anteriores a 7.133.29 JFrog Artifactory versões anteriores a 7.146.38 JFrog Artifactory versões anteriores a 7.161.20

Description O JFrog Artifactory contém uma fraqueza de autenticação no componente JFrog Access, responsável pela autenticação e gerenciamento de credenciais. Sob configurações padrão, um invasor não autenticado com acesso à rede pode ignorar a barreira de autenticação para obter privilégios administrativos. Isso ocorre através do abuso do comportamento da join-key; especificamente, instâncias sem uma join key adicional podem usar uma chave de serviço previsível, permitindo que invasores forjem o acesso e gerem tokens de administrador. Foi relatada a exploração em cenários reais, com invasores utilizando a falha para enumerar usuários, grupos e a topologia de acesso federado. Como o Artifactory gerencia ativos críticos da cadeia de suprimentos de software, como imagens de contêiner, binários e modelos de IA, um comprometimento administrativo poderia potencialmente permitir a manipulação de artefatos e o envenenamento da cadeia de suprimentos a jusante.

Recommendations Atualize para a versão 7.111.21 ou a versão corrigida aplicável para o ramo respectivo. Atualize para a versão 7.117.28 ou a versão corrigida aplicável para o ramo respectivo. Atualize para a versão 7.125.20 ou a versão corrigida aplicável para o ramo respectivo. Atualize para a versão 7.133.29 ou a versão corrigida aplicável para o ramo respectivo. Atualize para a versão 7.146.38 ou a versão corrigida aplicável para o ramo respectivo. Atualize para a versão 7.161.20 ou a versão corrigida aplicável para o ramo respectivo. Restrinja a exposição de rede do Artifactory a redes confiáveis. Revise contas e tokens de administrador criados recentemente e audite eventos de autenticação em busca de enumerações incomuns de usuários ou grupos. Rotacione credenciais de alto valor e valide a integridade de repositórios críticos e artefatos de build se houver suspeita de comprometimento.