JFrog Artifactory Flaws Enable Software Supply Chain Attacks
2026/08/20 InfoSecurity — JFrog Artifactory に 2 件の脆弱性が発見された。これらの脆弱性を悪用する匿名ユーザーまたは低権限ユーザーが、基盤となるアーティファクトを変更せずにパッケージ・メタデータを操作し、ソフトウェア・サプライチェーン侵害を引き起こす可能性がある。これらの欠陥を 6月25日に JFrog へ報告した Oligo Security は、8月20日に調査の詳細を明らかにした。
今回の調査には、"X-Orig-Client-Uri" ヘッダーの処理に影響を及ぼす CVE-2026-69106 (CVSS 8.8) と、信頼済み ".jfrog/" メタデータ・パスへの書き込みを可能にする CVE-2026-65922 (CVSS 5.4) が含まれる。いずれの欠陥も National Vulnerability Database に登録されており、すでに JFrog は修正版をリリースしている。
ヘッダーへの信頼を悪用する共有キャッシュ・ポイズニング
脆弱性 CVE-2026-69106 は、外部クライアントからの "X-Orig-Client-Uri" を、信頼済みルーティング・インフラから送信されたものかどうかを検証せずに、Artifactory が受け入れていたことに起因する。
Oligo が仮想リポジトリにより確認したのは、この問題がユーザー間のキャッシュ・ポイズニングにつながる可能性があることだ。Helm では、攻撃者が制御する完全な URL が生成されたメタデータへ書き込まれる一方で、その32-Bit Java ハッシュだけがキャッシュ位置の決定に使用されていた。
この欠陥を突く攻撃者は、同じハッシュを持つ別の URL を構築し、汚染されたインデックスを後続のユーザーへ展開することが可能となる。npm には別のキャッシュ保護機能が存在したが、確認対象は他の2つの上書きヘッダーであり、"X-Orig-Client-Uri" は確認されていなかった。
研究者は、JFrog が推奨する nginx のコンフィグに関連する別の問題も特定した。キャッシュ機能を備えたリバース・プロキシが展開されている場合、"X-Forwarded-Proto" の悪用により、生成される絶対 URL に影響が及ぶ可能性がある。
信頼済みメタデータ・パスが通常の制御を回避
その一方で、脆弱性 CVE-2026-65922 は、Artifactory における内部 ".jfrog/" メタデータの処理に影響を及ぼす。REST COPY／MOVE API／WebDAV MKCOL が、標準的なアップロードに適用される通常の保護を受けずに、これらのパスへ到達する可能性がある。
その結果、上記の認可処理において ".jfrog/" が信頼済みとして扱われ、適切なリポジトリ・アクセス権を持つ認証済みユーザーが、その場所へのコンテンツの配置／作成が可能になる。
Oligo によると、これらのファイルは、npm 署名キー／OCI リファラー／Docker インデックス／Ansible インデックスなどの機能であり、パッケージ・ハンドラーにより使用されるものである。
研究者が推奨しているのは、Artifactory のパッチ適用済みリリースへのアップグレードと、匿名アクセスが不要な場合における無効化である。特に、共有環境やインターネットからアクセス可能な環境では重要となる。
また、リポジトリへのアクセス権を持つユーザーおよびサービス・アカウントの確認と、ルーティング境界においてクライアントから提供される "X-Orig-Client-Uri"／"X-Forwarded-Proto" ヘッダーの削除／上書きも推奨される。
JFrog Artifactory における脆弱性 CVE-2026-69106／CVE-2026-65922 の動向と対策情報を解説する記事です。この件の背景にあるのは、特定ヘッダーの受け入れや内部メタデータ領域へのアクセス制限不備です。この欠陥により、不正な情報によるキャッシュ汚染／管理データの改ざん／サプライチェーン侵害といった影響が生じる恐れがあります。対応策として、最新修正版へのアップデート／匿名アクセスの無効化／境界ネットワークでの不要ヘッダーの除去／上書きが求められます。
IoT OT Security News 
You must be logged in to post a comment.