Платформа управления репозиториями JFrog Artifactory содержит уязвимость в процедуре проверки подлинности. Ошибка даёт злоумышленнику, действующему по сети, возможность поднять свои права в системе. Учётная запись для этого не нужна, участие пользователя тоже не требуется. Оценка по CVSS 3.1 составляет 9,8 при критическом уровне опасности; по устаревшей шкале CVSS 2.0 - все 10. Проблема получила идентификатор CVE-2026-82329, а в открытом доступе уже появился эксплойт.
Уязвимость CVE-2026-82329 в JFrog Artifactory и версии с исправлением
Класс ошибки - неправильная аутентификация, он же CWE-287. Проще говоря, проверка личности в Artifactory устроена так, что её можно пройти непредусмотренным способом. Метрики CVSS описывают атаку без обиняков: вектор сетевой, сложность низкая, привилегии не нужны, взаимодействие с пользователем не требуется. Ущерб по всем трём составляющим - конфиденциальности, целостности и доступности - оценивается как высокий.
Главное последствие - повышение привилегий. Из описания следует, что злоумышленник получает больше прав, чем предусмотрено его текущей ролью, вплоть до административных. Дальше открывается доступ к самому хранилищу: пакетам, сборкам, зависимостям, контейнерным образам. Для команды разработки это означает риск подмены артефактов, которые забирают сборочные системы.
Уязвимость затрагивает широкий набор релизов. Под неё попадают сборки Artifactory в диапазонах от 7.161.0 до 7.161.19; от 7.146.0 до 7.146.36; от 7.133.0 до 7.133.28; от 7.125.0 до 7.125.19; от 7.117.0 до 7.117.27; от 7.111.4 до 7.111.21. Шесть веток означают, что ошибка жила в коде не один релизный цикл. Администраторам самостоятельных установок стоит проверить точный номер сборки, а не только мажорную версию.
Дата выявления - 28 августа 2026 года. Производитель проблему подтвердил и закрыл: исправленные сборки находятся за верхней границей каждого из перечисленных диапазонов. Запись в Банке данных угроз безопасности информации (BDU) получила номер BDU:2026-16233. Отдельный повод для спешки - попадание CVE-2026-82329 в каталог известных эксплуатируемых уязвимостей CISA. Публичный эксплойт и запись в этом перечне вместе означают, что атака перестала быть теоретической.
Обновление остаётся основным и достаточным действием. Администраторам самостоятельно развёрнутых экземпляров нужно поднять Artifactory до сборки выше верхней границы своего диапазона; перечень закрытых версий и порядок установки приведены в бюллетене вендора. Полезно пройтись по инвентарю: старые копии в тестовых контурах и на резервных узлах часто остаются без присмотра. Если обновление откладывается, экземпляр изолируют от внешних сетей и ограничивают доступ к нему доверенными адресами.
Для хранилища артефактов цена промедления измеряется не одним сервером. Из репозитория пакеты забирают сборочные конвейеры, поэтому подмена данных на нём расходится по всем зависимым проектам. Критический рейтинг здесь подкреплён практикой: эксплойт опубликован, эксплуатация подтверждена, а исправление существует лишь в свежих сборках.
Ссылки
- https://bdu.fstec.ru/vul/2026-16233
- https://www.cve.org/CVERecord?id=CVE-2026-82329
- https://github.com/tc4dy/CVE-2026-82329-PoC-Exploit
- https://docs.jfrog.com/releases/docs/jfrog-security-advisories
- https://docs.jfrog.com/releases/docs/artifactory-self-managed-releases
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-82329
