Trusted DesignCVE-2026-66384 の詳細
CVEの情報
説明:
An authenticated user may write data outside the intended Docker cache path under specific remote-repository conditions.
CVE更新日: 2026-08-12 16:17:14.520000
CVSSバージョン: 3.1
CVSSスコア: 5.3
KEVの情報
KEV更新日: 2026-08-27
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.006650000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2026-66384に関する調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2026-66384は、JFrog Artifactoryの認証済みユーザーが、特定のDockerリモートリポジトリ設定を使用する際に、意図されたDockerキャッシュパス外にデータを書き込める脆弱性です。これは古典的なパス・トラバーサル（CWE-22）の欠陥に分類されます。
1.1 影響 この脆弱性を悪用されると、攻撃者はキャッシュディレクトリに限定されるべきファイルを不正に改変し、重要なリポジトリアーティファクトを置き換えたり改ざんしたりする可能性があります。これにより、リポジトリの整合性や可用性が影響を受け、ビルドアーティファクトパイプラインが侵害される恐れがあります。
1.2 深刻度 * CVSS v3.1スコア: 5.3 (Medium) * EPSSスコア: 0.26%（非常に低い） * CISA KEVカタログへの登録: この脆弱性はCISAの既知の悪用された脆弱性（KEV）カタログに掲載されており、実環境での活発な悪用が確認されています。
2. 対象となる環境
対象製品: JFrog Artifactory（自己管理型インストール）
2.1 影響を受けるOSバージョン 特定のOSバージョンは明記されていませんが、JFrog Artifactoryの自己管理型インストールが影響を受けます。
2.2 影響を受ける設定 * Dockerキャッシュを使用する特定のリモートリポジトリ設定の条件下で発生します。 * パス・トラバーサルをトリガーするには、有効な認証情報を持つ認証済みユーザーと、特定のリモートリポジトリ設定が受け入れられていることが必要です。 * 影響を受けるArtifactoryのバージョン: * 7.146.35より前のバージョン * 7.161.0から7.161.16（排他的）までのバージョン * JFrogのクラウドデプロイメントは影響を受けません。
3. 影響を受けた時の兆候
直接的な「兆候」は具体的に記述されていませんが、CISA KEVカタログに登録されていることから、悪用を試みる動きは活発であると考えられます。侵害の可能性を特定するためには、悪用プローブ、エラー、認証異常、または疑わしい子プロセスについてログを検索することが推奨されます。
4. 推奨対策
4.1 本対策 * JFrog Artifactoryを修正済みのリリースにアップグレードしてください。自己管理型環境の場合、修正済みバージョンは7.111.20、7.117.27、7.125.19、7.133.28、7.146.8です。 * ベンダーのアドバイザリに従ってパッチを適用してください。
4.2 暫定回避策（緩和策） * Dockerキャッシュパスを使用するリモートDockerリポジトリを作成または変更できないように、認証済みユーザーの権限を取り消すか制限してください。 * リモートDockerリポジトリ機能を無効にするか、厳密に設定し、キャッシュディレクトリが正しくバインドされ、トラバーサルにさらされないようにしてください。 * すぐにアップデートできない場合は、影響を受けるリモートリポジトリ設定を削除または隔離して、意図されたパス外への書き込みを防いでください。 * パッチが適用されるまで、影響を受けるコンポーネントの外部への露出を制限してください。 * JFrog Platformへの匿名アクセスを無効にしてください（ただし、新しいバージョンでは匿名アクセスはデフォルトで無効になっています）。
他に解説すべき観点
参照したサイト