Se ha detectado una vulnerabilidad crítica de evasión de autenticación (CVE-2026-82329) en JFrog Artifactory que permite a atacantes crear tokens de administrador. Esto podría permitir la sustitución de paquetes de software legítimos por código malicioso que afectaría a los sistemas que consumen dichos artefactos. JFrog ya lanzó actualizaciones para corregirlo, aunque se advierte que actualizar el software no invalida los tokens ya emitidos.

Una vulnerabilidad crítica de omisión de autenticación (CVE-2026-82329) en JFrog Artifactory está siendo explotada en ataques para crear tokens que proporcionan acceso administrativo.

El fallo está presente en la configuración predeterminada de las instancias autogestionadas de JFrog Artifactory, un gestor de repositorios utilizado para almacenar, organizar, asegurar y distribuir paquetes de software.

Un atacante no autenticado con acceso a la red podría explotarlo para obtener permisos de administrador.

Investigadores de la empresa de seguridad ofensiva watchTowr observaron que el fallo estaba siendo explotado por "atacantes que acuñaban sus propios tokens de administrador".

https://x.com/watchtowrcyber/status/2094639075726668267

Los detalles sobre el fallo son escasos, y el aviso de JFrog [https://docs.jfrog.com/releases/docs/jfrog-security-advisories] no comparte muchos detalles más allá de que el fallo es explotable en la configuración predeterminada de Artifactory.

El CEO de Vercel, Guillermo Rauch, advirtió [https://www.linkedin.com/posts/rauchg_two-days-ago-jfrog-dropped-cve-2026-82329-share-7499907119362490368-Bj1I/] que el impacto del fallo podría extenderse más allá del compromiso de Artifactory mismo.

"El acceso administrativo a Artifactory alcanza artefactos publicados que los sistemas downstream ya confían y extraen automáticamente", dijo Collin Hogue-Spears, Director Senior de Gestión de Soluciones de la empresa de seguridad de aplicaciones Black Duck.

Spears también señala que JFrog trata los tokens de acceso como credenciales independientes con sus propios mecanismos de expiración y revocación, por lo que actualizar el binario de Artifactory no invalida por sí mismo un token ya emitido.

Debido a que las organizaciones utilizan Artifactory para almacenar binarios y paquetes consumidos por sistemas de compilación y despliegue, los atacantes con acceso administrativo podrían reemplazar artefactos confiables y potencialmente ejecutar código malicioso en los sistemas downstream.

Rauch también especuló que la vulnerabilidad podría estar conectada con investigaciones recientes que involucran agentes de IA autónomos.

JFrog abordó el problema el 28 de agosto [https://docs.jfrog.com/releases/docs/jfrog-security-advisories#cve-2026-82329---potential-authentication-bypass-leading-to-administrative-access-in-artifactory] en las versiones de Artifactory 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 y 7.161.20. El proveedor afirma que los entornos de JFrog Cloud ya estaban protegidos.

Un atacante que falsifique sus propios tokens de administrador significa que puede realizar diversas acciones sensibles, como enumerar usuarios, grupos y topologías federadas, leer artefactos, cambiar configuraciones de seguridad y envenenar paquetes existentes.

Sin embargo, el alcance del compromiso, y si los servidores fueron realmente vulnerados, no está claro. El recuento de víctimas, los detalles de telemetría y los indicadores de compromiso (IoCs) tampoco están claros.

Fuente:
BleepingComputer