CVE詳細 - CVE-2026-42016-

CVE-2026-42016 の詳細

CVEの情報

説明:
JFrog Artifactory (Self Hosted) versions before 7.133.11 are vulnerable to a privilege escalation attack due to a validation check of the token signature/issuer and not the token’s scope.

CVE更新日: 2026-07-27 20:16:39.613000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2026-09-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.086430000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2026-42016に関する調査結果を以下に解説します。

1. 脆弱性の概要

JFrog Artifactory（Self Hosted版）の認証検証における不備に起因する権限昇格の脆弱性です。トークンの署名と発行者（issuer）は検証されるものの、トークンのスコープ（scope）が検証されないため、攻撃者が権限を昇格させることが可能となります。

1.1 影響

この脆弱性が悪用されると、低い権限を持つ認証済み攻撃者が管理者権限に昇格し、保存されているアーティファクト、ビルドパイプライン、およびダウンストリームのソフトウェアサプライチェーンを侵害する可能性があります。攻撃者は、トークンに偽の管理スコープを挿入して再署名することで、保護されたエンドポイントへの不正アクセスが可能になります。

1.2 深刻度

CVSS v3.1スコア: 8.8 (High) (TenableではCVSS2スコア9.0 Highも記載)
CVSS v3.1ベクトル: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
- 攻撃元区分 (AV): ネットワーク (Network)
- 攻撃条件の複雑さ (AC): 低 (Low)
- 必要な特権レベル (PR): 低 (Low)
- ユーザーインタラクション (UI): 不要 (None)
- スコープ (S): 変更なし (Unchanged)
- 機密性への影響 (C): 高 (High)
- 完全性への影響 (I): 高 (High)
- 可用性への影響 (A): 高 (High) / なし (None)
EPSS (Exploit Prediction Scoring System) スコア: 0.21% / 0.00209 / 1% (57 percentile) (KEVリストに掲載されており、活発に悪用されている可能性が高い)