Falle in JFrog Artifactory concatenate per installare una backdoor
Gli attaccanti stanno concatenando gravi falle di autenticazione in JFrog Artifactory per ottenere accesso amministrativo e installare una backdoor in Rust sui server self-hosted.
I server JFrog Artifactory self-hosted sono sotto attacco attivo attraverso una catena di falle di autenticazione che permettono agli intrusi di prendere il controllo amministrativo e installare una backdoor basata su Rust. Artifactory è un popolare gestore di repository software usato dai team di sviluppo per archiviare e distribuire pacchetti di codice, file di build e altri artefatti software. Quando le organizzazioni lo eseguono sui propri server invece di usare una versione cloud, sono responsabili dell'aggiornamento. Un nuovo rapporto della società di sicurezza cloud Wiz conferma che gli attaccanti hanno sfruttato più vulnerabilità in queste istanze self-hosted, combinandone due in un'unica catena di attacco.
Wiz ha osservato lo sfruttamento in diversi ambienti tra il 15 agosto e l'8 settembre 2026. La catena di attacco principale abbina CVE-2026-42018 con CVE-2026-42016. Una terza vulnerabilità, CVE-2026-82329, è un bypass critico dell'autenticazione che la società di sicurezza offensiva watchTowr ha segnalato come sfruttato all'inizio di questo mese per generare token amministratore. Il bypass dell'autenticazione significa che un attaccante può superare i controlli di accesso di un sistema senza conoscere una password valida. In questo caso, la falla permette a qualcuno di creare un token digitale che concede il massimo livello di controllo.
Secondo Wiz, il primo passo abusa di CVE-2026-42018 per ottenere un JSON Web Token (JWT), che è un pass digitale che prova chi è un utente, per un utente anonimo interno di Artifactory. Il problema è che questo funziona anche quando l'accesso anonimo è disabilitato, e il token porta solo privilegi bassi. Poi, l'attaccante sfrutta CVE-2026-42016, causata da una convalida del token insufficiente, per elevare quei privilegi a livello amministratore. La convalida del token è il processo di verifica che un pass digitale sia autentico e che i permessi che porta siano consentiti. Qui, quel controllo è troppo debole, quindi l'attaccante può trasformare un token a basso privilegio in uno con ambito amministratore. I ricercatori di Wiz notano che in alcuni casi l'attaccante ha impiegato meno di cinque minuti per creare un account amministratore.
Dopo aver creato account amministratore e generato token di accesso a lunga durata, gli attaccanti hanno installato plugin Groovy malevoli. Groovy è un linguaggio di programmazione che Artifactory usa per alcune delle sue funzionalità di estensione, e i plugin possono aggiungere nuove funzioni o automatizzare attività. I plugin malevoli permettono agli attaccanti di eseguire comandi arbitrari sul server. Per mantenere l'accesso nel tempo, hanno distribuito una backdoor personalizzata basata su Rust con capacità di comando e controllo (C2). Una backdoor è un modo nascosto per un attaccante di rientrare in un sistema in seguito, e C2 significa che il malware può ricevere istruzioni da un server remoto controllato dagli attaccanti. Wiz ha dichiarato: "Tra il 15 agosto e l'8 settembre 2026, abbiamo osservato più attori concatenare CVE-2026-42018 e CVE-2026-42016 contro istanze Artifactory self-hosted." I ricercatori hanno aggiunto: "In più casi, abbiamo osservato una backdoor personalizzata in Rust con capacità C2 essere rilasciata."
Nella fase successiva, l'attore della minaccia ha scaricato ulteriori payload in directory temporanee come /dev/shm, /tmp e /var/tmp. Hanno caricato webshell, che sono piccoli script posizionati su un server per dare a un attaccante remoto un pannello di controllo basato sul web. Hanno rubato dati di configurazione di Artifactory e chiavi di join del cluster, che sono segreti usati da più nodi Artifactory per fidarsi l'uno dell'altro. Hanno enumerato repository, token e utenti, cioè hanno elencato tutti i pacchetti archiviati, i pass di accesso e gli account. Hanno anche aggiunto le proprie chiavi SSH agli account appena creati. Le chiavi SSH sono un metodo di accesso senza password che usa chiavi crittografiche, quindi aggiungere la loro chiave dà all'attaccante un modo diretto e crittografato per accedere in seguito senza bisogno di una password.
Wiz avverte che tra il 49% e il 62% delle istanze Artifactory raggiungibili sono vulnerabili ad almeno una delle tre falle. Ciò significa che circa la metà dei server Artifactory esposti a internet che hanno scansionato potrebbe essere attaccata. Gli amministratori di sistema dovrebbero aggiornare immediatamente a una delle seguenti versioni di rilascio di Artifactory o successive: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 e 7.161.20. Dopo l'aggiornamento, Wiz raccomanda di investigare qualsiasi istanza esposta a internet per creazione imprevista di token, account amministratore non autorizzati, attività sospetta di plugin e richieste di enumerazione. L'accesso dovrebbe essere limitato solo a sistemi fidati. Wiz ha pubblicato indicatori di compromissione (IoCs), che sono impronte tecniche che aiutano i difensori a rilevare gli attacchi. Per i team che gestiscono software self-hosted come Artifactory, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza per aiutare con patch, controllo degli accessi e monitoraggio continuo. BleepingComputer ha contattato JFrog per confermare l'attività segnalata, ma al momento della pubblicazione non era stata ricevuta alcuna risposta.
Come Proteggerti
- Se la tua azienda usa JFrog Artifactory, chiedi al tuo team IT di aggiornarlo subito a una delle versioni corrette elencate in questo articolo.
- Controlla il pannello di amministrazione di Artifactory per eventuali account amministratore o token di accesso nuovi o sconosciuti, e rimuovi quelli che non hai creato tu.
- Limita l'accesso al tuo server Artifactory in modo che solo computer o reti fidati possano raggiungerlo, e non esporlo mai direttamente a internet senza protezione.
- Monitora i log del server per richieste insolite, specialmente tentativi di elencare repository o creare token.
- Usa password forti e uniche e abilita l'autenticazione a più fattori per qualsiasi account amministratore.
- Se non sei responsabile del server, condividi questo articolo con il tuo team IT o di sicurezza e chiedi loro di confermare se la tua istanza è stata aggiornata.
Vulnerabilità e Soluzioni
- CVE-2026-42016 A vulnerability caused by insufficient token validation that lets an attacker elevate a low-privilege token to administrator level. Fixed by upgrading to Artifactory 7.111.21 or later, depending on the release line. Vedi la soluzione e i dettagli →
- CVE-2026-42018 A vulnerability in JFrog Artifactory that lets an attacker obtain a JWT for the internal anonymous user even when anonymous access is disabled. Fixed by upgrading to Artifactory 7.111.21 or later, depending on the release line. Vedi la soluzione e i dettagli →
- CVE-2026-82329 A critical authentication bypass in JFrog Artifactory that was observed being exploited to mint administrator tokens. Fixed by upgrading to a patched version listed in the advisory. Vedi la soluzione e i dettagli →
I Termini Spiegati
- JWT Un pass digitale che prova chi è un utente, come un biglietto di carta con il tuo nome e i tuoi permessi sopra.
- Backdoor Un modo nascosto per un attaccante di rientrare in un sistema in seguito, anche dopo che i normali metodi di accesso sono stati chiusi.
- C2 Comando e controllo, il sistema che un malware usa per ricevere istruzioni da un computer remoto controllato dall'attaccante.
- Groovy plugins Piccoli programmi aggiuntivi per Artifactory che possono aggiungere nuove funzionalità o automatizzare attività.
- Webshell Un piccolo script posizionato su un server che dà a un attaccante remoto un pannello di controllo basato sul web.
- SSH keys Un metodo di accesso senza password che usa chiavi crittografiche invece di una password digitata.
- IoCs Indicatori di compromissione, indizi tecnici come nomi di file o indirizzi di rete che mostrano che un sistema potrebbe essere stato attaccato.