Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-42018HighCVSS: 7.5

JFrog Artifactory: Token-Leak ermöglicht Zugriff auf sensible Ressourcen

In JFrog Artifactory kann ein interner Anonymous-Token an nicht authentifizierte Aufrufer zurückgegeben werden, obwohl der anonyme Zugriff deaktiviert ist. Angreifer können dadurch potenziell auf sensible Ressourcen zugreifen. Betreiber sollten umgehend auf die korrigierten Versionen aktualisieren.

METADATEN

Entdeckt:
12.08.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •JFrog Artifactory 0 <7.111.20
  • •JFrog Artifactory 7.133.0 <7.133.28
  • •JFrog Artifactory 7.125.0 <7.125.19
  • •JFrog Artifactory 7.117.0 <7.117.27
  • •JFrog Artifactory 7.146.0 <7.146.8

Zusammenfassung

In JFrog Artifactory wurde die Schwachstelle CVE-2026-42018 mit CVSS-Score 7.5 (High) identifiziert. Bei deaktiviertem anonymen Zugriff kann ein interner Anonymous-User-Token an einen nicht authentifizierten Aufrufer zurückgegeben werden, wodurch sensible Ressourcen offengelegt werden können. JFrog hat korrigierte Versionen für mehrere betroffene Release-Zweige bereitgestellt.

Technische Details

  • CVE-ID: CVE-2026-42018
  • Hersteller: JFrog
  • Produkt: JFrog Artifactory
  • CVSS Score: 7.5
  • Severity: High
  • Beschreibung: JFrog Artifactory could return an internal anonymous-user token to an unauthenticated caller when anonymous access is disabled, potentially exposing sensitive resources.

Der Fehler liegt in der Token-Behandlung bei deaktiviertem anonymen Zugriff. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die Artifactory-Instanz kann unter Umständen ein gültiges internes Token erhalten und damit Aktionen im Kontext des anonymen Systembenutzers ausführen. Je nach Konfiguration und Berechtigungen des Anonymous-Users kann dies zur Offenlegung sensibler Artefakte, Build-Informationen und interner Ressourcen führen.

Betroffene Systeme

  • JFrog Artifactory 0 < 7.111.20
  • JFrog Artifactory 7.133.0 < 7.133.28
  • JFrog Artifactory 7.125.0 < 7.125.19
  • JFrog Artifactory 7.117.0 < 7.117.27
  • JFrog Artifactory 7.146.0 < 7.146.8

Betroffen sind Self-Managed-Installationen der genannten Versionen, bei denen der anonyme Zugriff deaktiviert ist.

Empfehlungen und Maßnahmen

  1. Update einspielen: Aktualisieren Sie umgehend auf eine korrigierte Version: 7.111.20, 7.133.28, 7.125.19, 7.117.27 oder 7.146.8 bzw. neuer, je nach Release-Zweig.
  2. Konfiguration prüfen: Verifizieren Sie die Einstellung für anonymen Zugriff und das Prinzip der minimalen Berechtigungen für den Anonymous-User.
  3. Logs auswerten: Prüfen Sie Access-Logs auf anonyme oder unerwartete Zugriffe auf sensible Repositories.
  4. Tokens rotieren: Rotieren Sie sicherheitshalber betroffene Tokens und Zugangsdaten nach dem Update.
  5. Netzwerkzugriff einschränken: Beschränken Sie den Zugriff auf Artifactory auf vertrauenswürdige Netze bis zum Abschluss des Patchings.

Quellen

REFERENZEN