თავდამსხმელები JFrog Artifactory-ის კიდევ სამ ხარვეზს იყენებენ

თუ სისტემის შესწორებულ ვერსიამდე განახლებისთვის ნიშანს ელოდებით, სწორედ ესაა ის ნიშანი.

JFrog Artifactory-ის (JFrog Artifactory) სისტემებზე ინტენსიური თავდასხმები გრძელდება. რამდენიმე თავდამსხმელი სამ ხარვეზს იყენებს, რათა დაუცველ სისტემებზე ადმინისტრატორის კონტროლი მოიპოვოს. ზოგ შემთხვევაში თავდასხმები მწარმოებლის მიერ შესწორების გამოქვეყნებიდან რამდენიმე დღეში დაიწყო. შემდეგ თავდამსხმელები უკანონო წვდომით მავნე გაფართოებებსა და უკანა კარებს აყენებენ.

CVE-2026-42018 მაღალი სიმძიმის არასათანადო ავთენტიფიკაციის ხარვეზია. როცა ანონიმური წვდომა გამორთულია, სისტემამ არაავთენტიფიცირებულ მომთხოვნს შეიძლება ანონიმური მომხმარებლის შიდა ტოკენი დაუბრუნოს. თავდამსხმელს ამ ტოკენით საცავის მართვის სისტემაში ავთენტიფიკაცია და სენსიტიურ რესურსებზე წვდომა შეუძლია. JFrog-მა ეს ხარვეზი 12 აგვისტოს გამოასწორა.

CVE-2026-42016 პრივილეგიების გაზრდის მაღალი სიმძიმის ხარვეზია. Artifactory ტოკენის მოქმედების ფარგლებს სათანადოდ არ ამოწმებს. ამის გამო შეზღუდული უფლებების მქონე თავდამსხმელს პრივილეგიების გაზრდა და აკრძალული მოქმედებების შესრულება შეუძლია. JFrog-მა ხარვეზი 27 ივლისს გამოასწორა.

CVE-2026-82329 ავთენტიფიკაციის გვერდის ავლის კრიტიკული ხარვეზია. ის ქსელზე წვდომის მქონე არაავთენტიფიცირებულ თავდამსხმელებს ადმინისტრატორის უფლებების მოპოვების საშუალებას აძლევს. JFrog-მა შესწორება 28 აგვისტოს გამოაქვეყნა.

უსაფრთხოების მკვლევრებმა ამ თვის დასაწყისში The Register-ს განუცხადეს, რომ ბოროტმოქმედებმა CVE-2026-82329-ის მიმართ დაუცველ, ინტერნეტში ხელმისაწვდომ სისტემებზე შეტევა JFrog-ის განცხადებიდან მხოლოდ ოთხ დღეში დაიწყეს. watchTowr-ის (watchTowr) სატყუარა სისტემების ქსელმა ადმინისტრატორის ახალი სააღრიცხვო მონაცემების შექმნაც დააფიქსირა. watchTowr-ის საფრთხეების დაზვერვის მთავარმა სპეციალისტმა იორდან განჩევმა თქვა: „ბოროტმოქმედები მომხმარებლებს, ჯგუფებს, სააღრიცხვო მონაცემების ნაკრებებსა და ფედერაციული წვდომის ტოპოლოგიებს აღრიცხავდნენ“.

ყველა თანხმდება, რომ თავდამსხმელებს არცერთი ხარვეზის გამოყენება JFrog-ის მიერ შესწორებების გამოქვეყნებამდე არ დაუწყიათ.

Wiz-ის (Wiz) უსაფრთხოების მკვლევრებმა ხუთშაბათის ანგარიშში განაცხადეს: „ჩვენ რამდენიმე გარემოში სამივე ხარვეზის რეალურ გამოყენებას ვადასტურებთ“. მათ ასევე აღნიშნეს, რომ „შესწორებების დაყენების ტემპი დაბალია“.

JFrog-ს სამივე ხარვეზთან დაკავშირებული თავდასხმების შესახებ The Register-ის არცერთ შეკითხვაზე არ უპასუხია.

Wiz-ის მონაცემებით, CVE-2026-42016-ის გასაჯაროებიდან ექვსი კვირის შემდეგ ორგანიზაციების 59% დაუცველი რჩება. CVE-2026-42018-ის მიმართ ოთხი კვირის შემდეგ 62% კვლავ დაუცველია. ორგანიზაციებმა კრიტიკული CVE-2026-82329 უფრო სწრაფად გამოასწორეს, თუმცა გამოქვეყნებიდან ორი კვირის შემდეგ 49% კვლავ დაუცველია.