Une faille critique dans JFrog Artifactory permet de falsifier des jetons d'administrateur sans connexion

Une faille critique d'authentification dans JFrog Artifactory, le dépôt de paquets logiciels utilisé par les entreprises pour stocker et distribuer leurs artefacts de build, est activement exploitée quelques jours seulement après avoir été corrigée. Référencée CVE-2026-82329 et notée 9,8 sur 10 sur l'échelle CVSS, la faille permet à un attaquant non authentifié disposant d'un accès réseau de forger des jetons d'administrateur sur les instances Artifactory autogérées fonctionnant avec leur configuration par défaut — sans identifiants, sans interaction utilisateur, ni accès préalable.

JFrog a révélé et corrigé la vulnérabilité le 28 août 2026, en publiant des versions corrigées sur six lignes de version : 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 et 7.161.20. Selon la société de sécurité offensive watchTowr, qui a signalé la première exploitation active, les attaques ont commencé avant même la publication du correctif et se sont accélérées une fois la divulgation rendue publique, donnant aux attaquants une feuille de route plus précise. Dès le 1er septembre, les honeypots de watchTowr enregistraient déjà des tentatives d'exploitation depuis plusieurs zones géographiques.

La cause profonde est une lacune de configuration, et non un bug de code : les instances JFrog Access sans clé de jointure (join key) explicitement configurée se rabattent par défaut sur une clé « fantôme » prévisible, que les attaquants peuvent exploiter pour falsifier les identifiants qu'Artifactory utilise pour faire confiance aux requêtes administratives. Comme la faille réside dans un état par défaut plutôt que dans une mauvaise configuration introduite par les utilisateurs eux-mêmes, tout déploiement autogéré n'ayant jamais défini de clé de jointure personnalisée est exposé dès l'installation.

Cela dépasse largement la base de clients de JFrog. Artifactory se trouve au cœur des chaînes d'approvisionnement logicielles : c'est là que les organisations stockent les artefacts de build, les images de conteneurs et les paquets automatiquement intégrés aux pipelines CI/CD et aux systèmes de production. « L'accès administrateur à Artifactory atteint des artefacts publiés auxquels les systèmes en aval font déjà confiance et qu'ils récupèrent automatiquement », a expliqué Collin Hogue-Spears de Black Duck, précisant pourquoi cette faille est dangereuse même si elle ne constitue pas une exécution de code à distance au sens traditionnel.

Une fois qu'un jeton d'administrateur falsifié est généré, les chercheurs affirment avoir observé les attaquants recenser les utilisateurs, groupes et jetons d'accès existants, cartographier les relations d'accès fédéré entre systèmes connectés, et, dans un nombre plus restreint de cas, implanter des comptes dérobés (backdoor) pour conserver l'accès même après la correction de la faille d'origine. Le risque le plus grave — altérer ou corrompre des artefacts que d'autres systèmes récupèrent automatiquement — est à la portée de quiconque détient un jeton d'administrateur falsifié, transformant un seul dépôt exposé en point d'entrée potentiel pour une compromission bien plus large de la chaîne d'approvisionnement.

Le service SaaS hébergé de JFrog n'a pas été affecté ; l'exposition se limite aux déploiements autogérés d'Artifactory fonctionnant avec la configuration par défaut vulnérable. « Cela est passé de la divulgation à l'exploitation réelle avec une efficacité troublante », a déclaré Yordan Ganchev de watchTowr. « Quiconque suit l'affaire sait ce qui va suivre : les choses vont empirer. »

Les organisations exploitant Artifactory en mode autogéré doivent appliquer immédiatement l'une des versions corrigées et ne pas supposer que l'absence de clé de jointure personnalisée est une configuration par défaut inoffensive — c'est précisément la condition dont dépend l'exploit. Compte tenu des signalements de comptes dérobés, les équipes ayant exécuté une version affectée avant le 28 août devraient également auditer les utilisateurs et jetons administrateur existants à la recherche de tout élément qu'elles n'ont pas créé elles-mêmes, plutôt que de se contenter d'appliquer le correctif.

Selon les informations rapportées par The Hacker News et BleepingComputer.