Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-42018 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-11 |
| Producent | JFrog |
| Produkt | Artifactory |
| CVSS Score | 7.5 (Wysoki) |
| EPSS Score | 0.9% (percentyl: 59%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-25 |
Opis podatności
Źródło: CISA KEV
JFrog Artifactory zawiera podatność błędnego uwierzytelniania (improper authentication), przez którą aplikacja może zwrócić wewnętrzny token użytkownika anonimowego klientowi, który nie przeszedł uwierzytelnienia. Skutkiem jest możliwość odsłonięcia wrażliwych zasobów.
Najważniejszy jest warunek, w jakim to zachodzi: także wtedy, gdy dostęp anonimowy został wyłączony. To znaczy, że zabezpieczenie, które administrator świadomie włączył, w tym przypadku nie chroni — konfiguracja wygląda poprawnie, a mimo to token jest wydawany. Przegląd ustawień nie wykryje więc problemu; rozstrzyga wyłącznie wersja oprogramowania.
Artifactory pełni rolę repozytorium artefaktów i pakietów w procesach CI/CD. Nieuprawniony dostęp do jego zawartości oznacza wgląd w wewnętrzne biblioteki i obrazy, a w niektórych konfiguracjach także w dane uwierzytelniające zaszyte w artefaktach.
Pozycja figuruje w katalogu CISA KEV jako aktywnie wykorzystywana, a wyznaczony termin reakcji minął 2026-09-25.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy organizacji korzystających z JFrog Artifactory.
Nie opieraj oceny na samym ustawieniu dostępu anonimowego — w tej podatności właśnie ono zawodzi. Sprawdź wersję instancji i porównaj ją z komunikatem producenta. Zwróć też uwagę na drugą podatność z tego samego okresu, CVE-2026-42016, dotyczącą kontroli zakresu tokenu w tym samym produkcie.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
