In questo articolo Indice dei contenuti 2 sezioni
Le vulnerabilità di JFrog Artifactory sono finite nel mirino di più gruppi di attaccanti, che le stanno concatenando per aggirare l’autenticazione, ottenere privilegi di amministratore e piazzare una backdoor scritta in Rust sui server self hosted rimasti senza patch. Il quadro emerge da un’analisi della società di sicurezza cloud Wiz, che ha confermato attività di sfruttamento in più ambienti diversi, con una catena d’attacco che unisce due falle distinte e apre la porta a un controllo praticamente totale della piattaforma.
Il meccanismo è più semplice di quanto si possa immaginare. Gli attaccanti sfruttano CVE-2026-42018 per ottenere un token JWT che appartiene all’utente anonimo interno di Artifactory, e la cosa funziona anche quando l’accesso anonimo risulta disabilitato. Quel token ha privilegi bassi, quasi insignificanti, ma è solo il primo gradino. Il passo successivo è CVE-2026-42016, una falla causata da una validazione dei token insufficiente, che permette di scambiare quel JWT con un token dai permessi da amministratore. Tempo necessario? In alcuni casi osservati meno di cinque minuti per arrivare alla creazione di un account amministrativo.
La backdoor in Rust e cosa succede dopo l’accesso
Una volta dentro, il copione si ripete con precisione. Gli attaccanti creano account amministrativi, generano token di accesso a lunga durata e installano plugin Groovy malevoli che consentono l’esecuzione di comandi arbitrari. La persistenza arriva con una backdoor Rust personalizzata, dotata di capacità di comando e controllo, individuata in più episodi distinti. Tra il 15 agosto e l’8 settembre 2026 sono stati osservati diversi attori concatenare le due vulnerabilità contro istanze Artifactory self hosted, secondo quanto riportato dai ricercatori.
Nella fase successiva il quadro si allarga: payload aggiuntivi scaricati nelle directory /dev/shm, /tmp e /var/tmp, webshell caricate sul server, dati di configurazione di Artifactory sottratti insieme alle chiavi di join del cluster. A questo si aggiunge l’enumerazione di repository, token e utenti, oltre all’inserimento delle chiavi SSH degli attaccanti negli account appena creati. Un accesso stabile, insomma, difficile da rimuovere se non ci si accorge in tempo di quello che sta accadendo.
C’è poi una terza falla nel quadro complessivo, CVE-2026-82329, un bypass dell’autenticazione classificato come critico. La società di sicurezza offensiva watchTowr ne aveva osservato lo sfruttamento all’inizio di settembre, usato per generare token amministrativi.
Quante istanze sono esposte e come mettersi al riparo
Il dato che preoccupa di più riguarda la superficie d’attacco. Secondo Wiz, tra il 49% e il 62% delle istanze Artifactory raggiungibili risulta vulnerabile ad almeno una delle tre falle. Numeri che spiegano perché più gruppi diversi si siano mossi nello stesso periodo, con tecniche sovrapponibili.
L’indicazione per gli amministratori di sistema è aggiornare immediatamente a una di queste versioni di Artifactory o successive: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20. L’aggiornamento però non chiude la partita. Dopo la patch va fatta una verifica sulle istanze esposte su internet, cercando creazioni di token inattese, account amministrativi sconosciuti, attività sospetta legata ai plugin e richieste di enumerazione anomale. L’accesso, poi, andrebbe limitato ai soli sistemi considerati affidabili.
Per facilitare il lavoro dei team di difesa, Wiz ha pubblicato un elenco di indicatori di compromissione collegati agli attacchi osservati, utili per individuare rapidamente eventuali intrusioni già avvenute. Un punto tutt’altro che secondario, considerando che chi ha già ottenuto chiavi SSH e token a lunga durata continua ad avere accesso anche dopo l’applicazione della patch.
JFrog è stata contattata per una conferma sull’attività segnalata, ma al momento della pubblicazione non era arrivata alcuna risposta.
Fonte: TecnoAndroid
