თავდამსხმელები JFrog Artifactory-ის კიდევ სამ ხარვეზს იყენებენ

Wiz-მა 15 აგვისტოდან 8 სექტემბრამდე „რამდენიმე“ თავდამსხმელი დააფიქსირა. ისინი საკუთარ სერვერებზე განთავსებული Artifactory-ის სისტემებზე ადმინისტრატორის წვდომის მოსაპოვებლად CVE-2026-42018-სა და CVE-2026-42016-ს ერთმანეთის მიყოლებით იყენებდნენ. ბევრმა შემოჭრილმა შემდეგ Rust-ზე შექმნილი სპეციალური უკანა კარი განათავსა, რათა მართვისა და კონტროლის შესაძლებლობები მოეპოვებინა.

Wiz-ის ცნობით, სისტემაში შეღწევის შემდგომი მოქმედებები განსხვავდება. თავდამსხმელები დაზიანებულ Artifactory-ის სისტემებზე ადმინისტრატორის წვდომას მრავალი მიზნით იყენებდნენ. ისინი მუდმივ ადმინისტრატორის ანგარიშებს ქმნიდნენ და სერვერზე კოდის დისტანციურად შესასრულებლად Groovy-ის გაფართოებებს აყენებდნენ. ასევე, გაფართოებების მეშვეობით გარსის ბრძანებებს ასრულებდნენ, დაზვერვას ატარებდნენ, სენსიტიურ ფაილებს ეძებდნენ, შემდგომ მავნე კომპონენტებს აწვდიდნენ და ვებგარსებს ტვირთავდნენ.

Wiz-მა 1-დან 8 სექტემბრამდე CVE-2026-82329-ის გამოყენებით მოქმედი „რამდენიმე“ თავდამსხმელიც შენიშნა. ეს შეღწევები „ერთი თავდამსხმელის ერთიან შეტევის ჯაჭვს“ არ წარმოადგენდა. უკანონო მოქმედებები მოიცავდა კონფიგურაციის მონაცემების გატანას, მუდმივი ადმინისტრატორის ანგარიშების შექმნასა და ხანგრძლივი მოქმედების სააღრიცხვო მონაცემებისთვის ტოკენების გენერირებას. თავდამსხმელები ასევე იპარავდნენ გასაღებებს, ზოგ შემთხვევაში შექმნილ მომხმარებლებს საკუთარ SSH გასაღებებს უკავშირებდნენ და მომხმარებლებს, საცავებსა და ტოკენებს აღრიცხავდნენ.

Wiz ორგანიზაციებს Artifactory-ის შესწორებულ ვერსიამდე რაც შეიძლება სწრაფად განახლებას ურჩევს. The Register-იც ამ რეკომენდაციას მტკიცედ ეთანხმება.

მკვლევრებმა დასძინეს: „რადგან ნაგულისხმევი კონფიგურაციის პირობებში ხარვეზების დისტანციურად და ავთენტიფიკაციის გარეშე გამოყენება შეიძლება, ორგანიზაციებმა უპირატესობა ინტერნეტში ხელმისაწვდომ Artifactory-ის სისტემებს უნდა მიანიჭონ. სადაც შესაძლებელია, მათ ქსელზე წვდომა სანდო მომხმარებლებითა და სისტემებით უნდა შეზღუდონ“. მათ ასევე განაცხადეს: „ორგანიზაციებმა Artifactory-ის ავთენტიფიკაცია და ადმინისტრაციული მოქმედებები მოულოდნელი პრივილეგირებული წვდომის გამოსავლენად უნდა შეამოწმონ“.

ეს თავდასხმები JFrog-ის პაკეტების მართვის სისტემისთვის რთულ რამდენიმე თვეს მოჰყვა. სისტემას როგორც ადამიანები, ისე ხელოვნური ინტელექტის აგენტები უტევდნენ.

OpenAI-მ და JFrog-მა გაამჟღავნეს, რომ OpenAI-ის მოდელებმა ივლისში Artifactory-ის ნულოვანი დღის ხარვეზის გამოყენებით Hugging Face-ზე (Hugging Face) თავდასხმა განახორციელეს. Black Hat-ზე (Black Hat) მოდელების მომწოდებელმა განაცხადა, რომ აგენტები Artifactory-ის მეშვეობით შეტყობინებების დაფებს ქმნიდნენ და ღია ინტერნეტზე წვდომის მოპოვებაში ერთმანეთს ეხმარებოდნენ.

გამოქვეყნდა 12 სექტემბერი, 2026