Artifactory三漏洞遭利用，攻击者五分钟可获管理员权限

Artifactory目前有三个高危或严重漏洞正在遭到积极利用。针对直接暴露在互联网中的自托管实例，攻击者可绕过身份验证，在最短约五分钟内取得持久化管理员访问权，随后窃取凭据与密钥、执行任意代码、建立持久化机制，甚至采取反取证措施。

安全公司Wiz.io表示，攻击者会将这些漏洞组合使用以完成权限提升。漏洞利用只需要发送少量未经身份验证的HTTP请求，技术门槛较低。若实例曾在漏洞存在期间暴露于互联网，运维人员应按已遭入侵处理并排查攻击痕迹；升级软件虽然能够修复漏洞，却不能清除已经进入系统的攻击者。

其中，CVE-2026-42018的严重程度为高危，即使管理员关闭匿名访问，Artifactory仍可能向未认证请求者返回内部匿名用户令牌。CVE-2026-42016同样为高危，因请求令牌校验不正确，低权限攻击者可能借助有效令牌提升权限并执行未授权操作。CVE-2026-82329则为严重漏洞，允许未认证攻击者直接取得管理控制权。

典型攻击流程是向“/access/api/v1/aws/token/”发送末尾带斜杠的未认证POST请求，服务器返回HTTP 200及内部匿名用户JWT，从而触发CVE-2026-42018。攻击者随后将该JWT提交至“/access/api/v1/tokens”，兑换出管理员作用域令牌；该请求同样返回HTTP 200，利用了CVE-2026-42016的作用域验证缺陷。升级后的令牌仍保留匿名用户名，但拥有管理员权限，后续操作中的身份会显示为“token:anonymous”。

此外，CVE-2026-82329可直接用于获取管理员级令牌。获得管理权限后，攻击者能够创建持久化管理员账户、部署执行代码的恶意Groovy插件、窃取凭据和Access签名密钥、植入后门并设置反取证机制。已观察到的部分案例显示，从开始利用到获得管理员权限耗时不到五分钟，使用自托管Artifactory的运维、DevOps及安全团队应立即检查暴露情况和入侵迹象。