Một lỗ hổng critical authentication bypass trong JFrog Artifactory, được theo dõi là CVE-2026-82329, đang bị khai thác tích cực. Lỗ hổng này cho phép kẻ tấn công chưa xác thực có quyền truy cập mạng chiếm quyền quản trị viên cấp cao.
Lỗ hổng nghiêm trọng trong JFrog Artifactory
Theo WatchTowr, nhóm tình báo của họ đã quan sát thấy kẻ tấn công đang khai thác lỗ hổng này và “tạo ra các token quản trị viên cho chính mình”. Kẻ tấn công sở hữu một token quản trị viên hợp lệ có thể kiểm soát môi trường Artifactory bị ảnh hưởng, bao gồm kho lưu trữ, tài khoản người dùng, quyền truy cập, các bản dựng (artifacts) và các gói phần mềm được lưu trữ trên nền tảng.
JFrog đã công bố lỗ hổng này vào ngày 28 tháng 8 năm 2026 và phân loại nó là critical. Công ty mô tả CVE-2026-82329 là một vấn đề xác thực không phù hợp (improper authentication), được theo dõi theo CWE-287.
Dưới cấu hình mặc định, kẻ tấn công từ xa không cần thông tin xác thực hợp lệ để khai thác điểm yếu này và có thể đạt được đặc quyền quản trị viên.
Tác động và Rủi ro bảo mật
JFrog Artifactory được sử dụng rộng rãi bởi các nhóm phát triển và DevOps để quản lý các gói (packages), hình ảnh container, tệp nhị phân (binaries), các phụ thuộc trong quá trình xây dựng (build dependencies) và các thành phần phần mềm khác. Vị trí của nó thường nằm trong các đường ống CI/CD, do đó, việc xâm phạm một máy chủ Artifactory có thể gây ra rủi ro bảo mật nghiêm trọng cho chuỗi cung ứng phần mềm.
Kẻ tấn công giành được quyền kiểm soát quản trị viên có thể thay đổi cài đặt kho lưu trữ, tạo tài khoản có đặc quyền, đánh cắp các bí mật được lưu trữ, truy cập các gói riêng tư hoặc cố gắng đưa các thành phần độc hại vào quy trình xây dựng và triển khai đáng tin cậy.
Theo công ty quản lý rủi ro phơi nhiễm WatchTowr, việc tạo ra các token quản trị viên được báo cáo là đặc biệt đáng lo ngại vì chúng có thể cung cấp quyền truy cập liên tục ngay cả khi tổ chức thay đổi mật khẩu hoặc chấm dứt các phiên người dùng đang hoạt động.
Các biện pháp Khắc phục và Bảo vệ
Các nhóm bảo mật nên điều tra xem có bất kỳ token quản trị viên không mong muốn, người dùng có đặc quyền mới, hoạt động API bất thường hoặc thay đổi cấu hình nào được tạo ra xung quanh thời điểm phiên bản dễ bị tổn thương bị lộ hay không.
JFrog cho biết các môi trường đám mây của họ đã được tăng cường bảo mật, nghĩa là khách hàng sử dụng dịch vụ đám mây do nhà cung cấp quản lý không cần thực hiện hành động nào cho vấn đề cụ thể này. Tuy nhiên, các tổ chức chạy JFrog Artifactory tự host phải cập nhật bản vá ngay lập tức lên một bản phát hành đã được sửa lỗi trên nhánh được hỗ trợ của họ.
Các phiên bản đã được vá bao gồm: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 và 7.161.20. Các dải bị ảnh hưởng bao gồm các phiên bản Artifactory từ 7.111.4 đến 7.111.21, 7.117.0 đến 7.117.27, 7.125.0 đến 7.125.19, 7.133.0 đến 7.133.28, 7.146.0 đến 7.146.36 và 7.161.0 đến 7.161.19.
Các tổ chức cũng nên hạn chế quyền truy cập bên ngoài vào các giao diện quản lý Artifactory, xem xét các quy tắc reverse-proxy và tường lửa, và đảm bảo chỉ các mạng đáng tin cậy mới có thể tiếp cận các điểm cuối quản trị. Các nhóm nên kiểm tra nhật ký truy cập (access logs) để tìm các địa chỉ IP nguồn không quen thuộc, các yêu cầu xác thực không thành công hoặc bất thường, các sự kiện tạo token và các lệnh gọi đến API quản trị người dùng, quyền hoặc kho lưu trữ.
Quản trị viên nên coi bất kỳ triển khai Artifactory tự host nào bị lộ ra Internet và chưa được vá lỗi đều có khả năng bị xâm phạm. Sau khi vá lỗi, các tổ chức nên thu hồi và phát hành lại các token quản trị viên, xem xét tất cả các tài khoản có đặc quyền, xác thực tính toàn vẹn của kho lưu trữ và kiểm tra các thông tin xác thực CI/CD có thể đã truy cập được thông qua nền tảng.
Báo cáo về việc khai thác tích cực làm cho việc khắc phục sự cố nhanh chóng trở nên thiết yếu. Một kho lưu trữ thành phần bị xâm phạm có thể biến một lần vượt qua xác thực thành một vụ vi phạm rộng hơn, ảnh hưởng đến các nhà phát triển, hệ thống xây dựng, khối lượng công việc sản xuất và người dùng phần mềm hạ nguồn.
Các bản vá lỗi cho lỗ hổng này có sẵn và cần được triển khai ngay lập tức để bảo vệ hệ thống.
Tìm hiểu thêm về lỗ hổng CVE này tại NVD.
