Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-42016 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-11 |
| Producent | JFrog |
| Produkt | Artifactory |
| CVSS Score | 8.1 (Wysoki) |
| EPSS Score | 0.9% (percentyl: 58%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-25 |
Opis podatności
Źródło: CISA KEV
JFrog Artifactory zawiera podatność niewłaściwej autoryzacji (incorrect authorization), która prowadzi do eskalacji uprawnień.
Przyczyna jest precyzyjnie wskazana: walidacja sprawdza podpis i wystawcę tokenu, ale nie jego zakres (scope). Token jest więc uznawany za autentyczny — i słusznie — po czym zostaje zaakceptowany do operacji, do których nigdy nie był uprawniony. Uwierzytelnienie działa; zawodzi autoryzacja.
To rozróżnienie ma praktyczne znaczenie przy ocenie ryzyka. Atakujący nie musi podrabiać tokenu ani wykradać poświadczeń administratora — wystarczy, że dysponuje prawidłowym tokenem o wąskim zakresie. Takie tokeny są w procesach CI/CD rozdawane szeroko: do pojedynczych zadań, repozytoriów czy potoków budowania, i bywają przechowywane w miejscach chronionych słabiej niż poświadczenia administracyjne.
Pozycja figuruje w katalogu CISA KEV jako aktywnie wykorzystywana, a wyznaczony termin reakcji minął 2026-09-25.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy organizacji korzystających z JFrog Artifactory.
Przy planowaniu reakcji weź pod uwagę, ile tokenów o wąskim zakresie funkcjonuje w Twoich potokach CI/CD i gdzie są przechowywane — to one wyznaczają realną powierzchnię ataku. Po aktualizacji rozważ rotację tokenów, jeśli nie masz pewności, że żaden nie wyciekł. Zwróć też uwagę na drugą podatność z tego samego okresu, CVE-2026-42018, dotyczącą wydawania tokenu anonimowego w tym samym produkcie.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
