Artifactory 三大漏洞遭积极利用，攻击者可五分钟内绕过认证获取管理员权限

一句话结论

Artifactory 自托管部署的三大高危漏洞正被利用，攻击者可在五分钟内绕过身份验证获取持久化管理员权限，严重威胁软件供应链安全。

关键要点

• 安全公司 Wiz.io 披露 CVE-2026-42018（高危）、CVE-2026-42016（高危）、CVE-2026-82329（严重）三个漏洞，目前正处于积极利用状态。
• 攻击者仅需发送少量未认证的 HTTP 请求即可触发漏洞，利用 CVE-2026-42018 获取内部匿名用户 JWT，再通过 CVE-2026-42016 将其兑换为管理员令牌。
• 在 CVE-2026-82329 漏洞中，未认证攻击者可直接获取管理控制令牌，权限提升后的请求身份显示为 token:anonymous。
• 获得管理员权限后，攻击者可在约五分钟内创建持久化账户、部署恶意 Groovy 插件、窃取凭据与密钥并部署反取证机制。
• 建议立即升级至 7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20 或更高版本，以修补相关漏洞。

背景与事实

Artifactory 作为核心软件供应链组件，广泛应用于构建和分发管理。Wiz.io 研究人员指出，目前三个漏洞已被串联利用以实现权限提升。利用流程始于向 /access/api/v1/aws/token/ 发送末尾带斜杠的 POST 请求，触发 CVE-2026-42018，该漏洞会导致系统向未认证请求者返回内部匿名用户令牌，即使已禁用匿名访问。随后，攻击者利用 CVE-2026-82016 的令牌验证缺陷，通过 POST /access/api/v1/tokens 将低权限令牌兑换为具备管理员权限的令牌。CVE-2026-82329 则提供更直接的途径，允许未认证攻击者直接获取管理级令牌。

Wiz.io 观察到，一旦攻击者建立持久化访问通道，便会实施进一步行动，包括部署用于代码执行的恶意 Groovy 插件、窃取 Access 签名密钥以及部署反取证措施。由于 Artifactory 处于构建流水线的核心位置，专家警告称，此类入侵直接构成供应链安全风险。Graylog 信息安全高级总监 Jim Nitterauer 强调，在第三个漏洞披露后四天内，已观察到实际攻击活动，表明漏洞利用速度极快。网络安全专家 Erik York 则将其与“SolarWinds 事件”相提并论，指出若不尽快修复，这些漏洞将演变成大规模供应链危机。

影响分析

对于中文开发者与企业而言，此次事件意味着所有使用自托管 Artifactory 进行软件构建与分发的组织面临即时且实质性的供应链攻击风险。由于漏洞利用门槛极低且无需复杂的身份验证绕过，处于互联网可访问状态的未修补实例应被视为已遭入侵。分析判断认为，仅通过版本升级无法驱逐已潜伏的攻击者，组织必须结合入侵痕迹搜索与应急响应。此外，由于攻击者会窃取 Access 签名密钥并建立后门，修复漏洞后仍需轮换相关凭据并排查潜在的代码执行行为，以消除持久化威胁。

适用边界

本结论主要适用于暴露在互联网且未安装修复补丁的自托管 Artifactory 部署。对于采用官方云托管服务、内网隔离部署或已升级至指定修复版本（如 7.111.21 等）的环境，该特定漏洞利用链不成立。然而，若系统曾暴露且未进行彻底的入侵痕迹清理与凭据轮换，历史残留的后门风险仍可能存在。

孤本观察

本次事件表明，供应链核心组件的验证机制已成为攻击重点。判断认为，单纯依赖产品内置的身份验证功能已不足以抵御针对性攻击，组织必须将“假设已入侵”纳入响应策略，并强化对低权限令牌兑换及匿名访问的监控。

来源：InfoQ 中文 AI