📦 Разбор CVE: JFrog Artifactory — auth bypass, который чеканят в админ-токены

28 августа JFrog раскрыл CVE-2026-82329: improper authentication в self-hosted Artifactory. CVSS 9.8, вектор AV:N/AC:L/PR:N/UI:N — неавторизованный атакер с доступом по сети получает админские права.

• CVE-2026-82329 — authentication bypass → административный доступ
• Эксплуатируется в дикой природе через несколько дней после disclosure (watchTowr): атакеры генерируют admin-токены и шарятся по данным
• Artifactory — центральный артефакт-репозиторий для ~83% Fortune 100

Почему это supply chain-кошмар:
• Компрометация репозитория = подмена артефактов в build-пайплайнах и раскатка заражённых сборок downstream
• Из Artifactory путь к прод-инфраструктуре и латеральное движение
• Админ-компрометация делает реалистичными самые жёсткие сценарии

Самая важная деталь (которую легко пропустить):
Патч закрывает дверь для новых атак, но НЕ отзывает токены, которые уже украли. Если просто обновиться без аудита — бэкдор остаётся жить.

Что делать:
1. Обновить self-hosted Artifactory до патченной версии
2. Аудит и ротация админских кредов/токенов, созданных в окне эксплуатации
3. Проверить, не менялись ли артефакты за последние дни (целостность)

Вывод: репозиторий артефактов — это не «склад файлов», это доверенная точка твоей цепочки поставки ПО. Auth bypass там = отравление всего, что через него собирается.

#CVE #Artifactory #supplychain #KEV