JFrog Artifactory の認証処理の不備で権限昇格

Critical（CVSS 9.8）に分類されるJFrog Artifactory (Self-Managed)の脆弱性です。アーティファクトリポジトリ JFrog Artifactory の内部リクエスト処理に認証の取り扱いの弱点があり、特定の条件下で攻撃者が想定された権限の範囲を越えて権限昇格できる。JFrog の記述は概略のみで、内部リクエスト処理という以上に具体的な経路は公開されていない。影響範囲は CPE から読み取れる形で示されており、7.111.18 未満、7.117.0 以上 7.117.25 未満、7.125.0 以上 7.125.18 未満、7.133.0 以上 7.133.27 未満、7.146.0 以上 7.146.34 未満、7.161.0 以上 7.161.15 未満が対象で、それぞれの上限値が各系列の修正版に当たる。系列ごとに修正が出ているため、使っている系列の修正版以上へ上げる形の判断になる。対象は自己管理版（Self-Managed）で、参照として自己管理版のリリースノートと JFrog のセキュリティアドバイザリのページが挙がっている。CVSS は評価元で割れており、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の JFrog は 8.8 High（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）としており、差は権限要求の有無（PR:N か PR:L）である。JFrog は何らかの認証済みアカウントが必要という見方、NVD は未認証で成立し得るという評価になっている。CISA KEV には未収載で是正期限の指定もない。NVD の公開日は 2026-07-27、vulnStatus は Analyzed。

判定は版の確認で足りる。Artifactory の版は管理 UI のフッターか、REST API の /api/system/version、あるいはインストールディレクトリのバージョン情報で確認でき、7.111.18 / 7.117.25 / 7.125.18 / 7.133.27 / 7.146.34 / 7.161.15 のうち自分の系列に対応する修正版より低ければ該当する。系列が枝分かれしているため、単純な大小比較ではなく系列内の比較で判断する必要がある点に注意する。見落としやすいのは、本番の隣に立てた検証用インスタンス、HA 構成のうち更新から漏れたノード、そして Kubernetes 上に Helm で入れたものでチャートの版だけ見て中身の版を確認していないケースである。すぐに更新できない場合の緩和策は経路を閉じる方向になる。Artifactory はビルドの成果物とコンテナイメージの供給源なので、権限昇格が成立すると配布物の差し替えに直結する。管理 UI と API をインターネットに直接公開しているならまず送信元を絞り、VPN や社内ネットワーク、あるいは認証プロキシの背後に置く。加えて匿名アクセス（Anonymous Access）が有効になっていないかを確認し、不要なら無効化する。管理者権限を持つアカウントとアクセストークンの棚卸しを行い、使っていないトークンを失効させておくと、昇格が起きた場合の追跡もしやすくなる。完了条件は、（1）全ノードが自分の系列の修正版以上になっていること、（2）管理系のエンドポイントが不要な範囲へ公開されていないこと、の2点である。KEV には未収載なので期限超過の扱いは発生しないが、Primary の評価が未認証での Critical であり、対象が配布物の供給源であることを踏まえると、通常の更新サイクルを待たずに処理する価値がある。更新後は、意図しない管理者アカウントやトークンが増えていないか、リポジトリ内の成果物が想定外に置き換えられていないかを確認しておくとよい。

JFrog Artifactory (Self-Managed) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-66014）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。