Trusted Design

CVE-2026-42018 の詳細

CVEの情報

説明:
JFrog Artifactory could return an internal anonymous-user token to an unauthenticated caller when anonymous access is disabled, potentially exposing sensitive resources.

CVE更新日: 2026-08-12 18:17:29.473000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2026-09-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.098050000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-42018について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-42018は、JFrog Artifactoryに存在する不適切な認証の脆弱性（CWE-287）です。匿名アクセスが無効になっている場合でも、Artifactoryが未認証の呼び出し元に内部の匿名ユーザー・トークンを返してしまう可能性があります。 この問題は、Artifactoryの構成で匿名アクセスが無効になっているにもかかわらず、保護されたリソースにアクセスしようとする未認証の呼び出し元に内部匿名ユーザー・トークンが返され続ける場合に具体的に発生します。

1.1 影響

この脆弱性は、攻撃者が保護されるべきプライベートリポジトリ、機密性の高いアーティファクト、およびメタデータにアクセスできる状況を作り出します。 内部トークンの露出は、特権昇格やArtifactoryが中心的なアーティファクトリポジトリとして機能する環境内での横方向の移動を可能にする可能性があります。 攻撃者は、この脆弱性をCVE-2026-42016と組み合わせて管理者スコープのトークンを取得し、ホストされたリポジトリにバックドアをデプロイするために悪用していることが観測されています。 これは、プロプライエタリなコード、ビルドアーティファクト、セキュリティパッチ、その他の機密資料がArtifactoryに保存されているエンタープライズ環境で特に懸念されます。

1.2 深刻度

CVE-2026-42018は「High（高）」の深刻度に分類されており、CVSSv3.1の基本スコアは7.5、CVSSv2の基本スコアは7.8です。 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）の既知の悪用されている脆弱性（KEV）カタログに積極的に悪用されている脆弱性として追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はJFrog Artifactoryに存在し、特定のOSバージョンに直接関連するものではありません。影響を受けるJFrog Artifactoryのリリースブランチに対応する修正済みバージョンが提供されています。

2.2 影響を受ける設定

匿名アクセスが無効になっているJFrog Artifactoryの構成が影響を受けます。具体的には、匿名アクセスが無効になっているにもかかわらず、システムが未認証の呼び出し元に内部の匿名ユーザー・トークンを返し続ける場合に脆弱となります。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、以下のような兆候が観測される可能性があります。

  • 攻撃者による永続的な管理者アカウントの作成
  • 悪意のあるGroovyプラグインの導入
  • シェルコマンドの実行
  • Rustベースのバックドアの設置
  • 管理者権限で実行された操作がログ上で「token: anonymous」と記録される
  • Artifactory EMSサーバー上の異常なプロセス、Webサーバーログにおける異常なHTTPパラメータ、管理者アカウントの追加・変更、ポリシーやパッケージ配布設定の改変、EMSからクライアントデバイスへ送信された疑わしいタスク

4. 推奨対策

4.1 本対策

影響を受けるJFrog Artifactoryを修正済みバージョンにアップグレードすることが強く推奨されます。修正済みバージョンは、影響を受けるリリースブランチに応じて、7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20などのバージョンとして提供されています。 CISAは、米国連邦政府機関に対し、2026年9月25日までにこの脆弱性に対処するよう義務付けています。

4.2 暫定回避策（緩和策）

匿名アクセスを無効にしても、この脆弱性は軽減されません。 本脆弱性に対する直接的な暫定回避策は明記されていませんが、一般的なセキュリティ対策として、Artifactoryインスタンスのインターネット露出を避ける、管理元IPを厳格に制限する、管理UI/APIへのアクセスログを外部SIEMに転送する、設定変更とログインの二重承認・改ざん検知を導入するなどが推奨されます。

他に解説すべき観点

  • CWE: この脆弱性は、CWE-287 (Improper Authentication) に分類されます。
  • 積極的な悪用: CVE-2026-42018は、CISAのKEVカタログに追加されており、実環境での悪用が確認されています。
  • 他の脆弱性との連鎖: 攻撃者はしばしばCVE-2026-42018をCVE-2026-42016と連鎖させて、管理者権限のトークンを取得し、Artifactory環境を完全に制御します。
  • 公開日: 本脆弱性は2026年8月12日または13日に公開されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る