if ( !emtpy($headline_subheadline ) ) : ?>
Le bug est déjà exploité dans la nature, permettant aux attaquants de générer des jetons d’administrateur et d’accéder à Artifactory, la plate-forme qui alimente les chaînes d’approvisionnement logicielles de nombreuses organisations.
endif; ?>
Un contournement d’authentification critique dans JFrog Artifactory est désormais exploité dans la nature, des attaquants ayant observé la génération de jetons d’administrateur et l’analyse des données sensibles de la plate-forme de chaîne d’approvisionnement logicielle.
La faille, identifiée comme CVE-2026-82329, a été divulguée par JFrog le 28 août et peut, dans la configuration par défaut, permettre à un attaquant non authentifié ayant accès au réseau d’obtenir des privilèges administratifs.
Le 1er septembre, watchTowr a déclaré que son pot de miel Attacker Eye voyait déjà des acteurs malveillants exploiter des systèmes exposés à Internet. L’activité comprenait des attaquants créant des jetons d’administrateur et énumérant les utilisateurs, les groupes, les ensembles d’informations d’identification et les topologies d’accès fédérées.
« Cela est passé de la divulgation à l’exploitation dans le monde réel avec une efficacité inconfortable », a déclaré Yordan Ganchev, principal spécialiste du renseignement sur les menaces chez watchTowr. « Lorsque les attaquants obtiennent un accès de niveau administrateur à un système central de chaîne d’approvisionnement de logiciels, ils peuvent faire ce que chaque équipe d’ingénierie fait de mieux : créer, expédier et distribuer des logiciels rapidement. »
Une clé ‘Fantôme’ pour l’accès administrateur
Le bug vient de JFrog Access, le composant chargé de délivrer et de valider les identifiants. Selon Ganchev, les instances concernées sans clé de jointure supplémentaire configurée reçoivent une clé de jointure « fantôme » dont les attaquants peuvent abuser pour falsifier l’accès et créer des informations d’identification de niveau administrateur.
L’avis de JFrog décrit le problème comme une faiblesse d’authentification qui peut permettre à un attaquant non authentifié ayant accès au réseau d’obtenir des privilèges administratifs dans la configuration par défaut.
La vulnérabilité a reçu une gravité critique (CVSS 9.8) et affecte plusieurs branches de version Artifactory auto-hébergées. JFrog a publié des correctifs pour les versions auto-hébergées concernées, tandis que les environnements cloud concernés ont déjà été renforcés.
Il est conseillé aux utilisateurs de mettre à niveau vers les versions 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 ou 7.161.20, en fonction de leur branche de version.
« Admin sur Artifactory signifie administrateur sur ses propres contrôles », a déclaré Collin Hogue-Spears, directeur principal de la gestion des solutions chez Black Duck. « CVE-2026-82329 provoque une intrusion. Le contrôle administratif du référentiel transforme cette intrusion en substitution. »
Un attaquant disposant du contrôle administrateur d’un référentiel central d’artefacts pourrait potentiellement altérer les pipelines de construction, se déplacer latéralement dans les systèmes de production et transmettre des modifications malveillantes aux clients en aval, a déclaré Ganchev.
Le patch a réparé la porte, mais pas ce qui la traversait
Le conseil immédiat est de corriger les systèmes Artifactory auto-hébergés concernés, en particulier ceux exposés à Internet.
« Les systèmes exposés alors qu’ils sont vulnérables doivent être traités avec suspicion d’être potentiellement compromis », a averti Ganchev. « Les défenseurs doivent inspecter les journaux d’audit, alterner les informations d’identification exposées et enquêter sur les systèmes connectés à la recherche de modifications malveillantes ou d’accès par porte dérobée. »
Hogue-Spears a fait valoir un point similaire à propos des jetons d’administrateur. Étant donné qu’un jeton créé avant la correction peut rester valide jusqu’à sa révocation, les organisations devraient révoquer et réémettre les jetons d’administrateur sur les instances vulnérables plutôt que de supposer qu’une mise à niveau logicielle efface à elle seule l’accès de l’attaquant, a-t-il déclaré.
Hogue-Spears a également fait valoir que les contrôles d’intégrité devraient s’étendre au-delà du référentiel lui-même. Les systèmes de production doivent épingler les images des conteneurs dans des résumés immuables et vérifier les signatures et la provenance lors du déploiement. « Une signature conservée à côté d’un artefact constitue une preuve », a-t-il déclaré. « Une signature vérifiée au moment du déploiement vaut application. »
