--- title: "Krytyczna luka w JFrog Artifactory wykorzystywana do tworzenia tokenów administratora" description: "Podatność CVE-2026-82329 w JFrog Artifactory pozwala nieuwierzytelnionym napastnikom z dostępem sieciowym uzyskać uprawnienia administratora. JFrog wydał poprawki dla samodzielnie zarządzanych instancji, ale aktualizacja może nie unieważnić wcześniej wystawionych tokenów." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-jfrog-artifactory-wykorzystywana-do-tworzenia-tokenow-administratora" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-jfrog-artifactory-wykorzystywana-do-tworzenia-tokenow-administratora/index.md" date_published: "2026-09-02T20:16:40.957Z" date_modified: "2026-09-02T20:29:44.085Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "jfrog artifactory" - "cve-2026-82329" - "cyberbezpieczeństwo" - "łańcuch dostaw oprogramowania" source_url: "https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-jfrog-artifactory-flaw-to-forge-admin-tokens/" source_name: "BleepingComputer" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1788372092918.jpeg" image_alt: "A security and privacy dashboard with its status" image_credit: "© Zulfugar Karimov / Unsplash" image_credit_url: "https://unsplash.com/@zulfugarkarimov" --- # Krytyczna luka w JFrog Artifactory wykorzystywana do tworzenia tokenów administratora > Krytyczna luka w JFrog Artifactory jest wykorzystywana do tworzenia tokenów z uprawnieniami administratora. ## Kluczowe informacje - CVE-2026-82329 występuje w domyślnej konfiguracji samodzielnie zarządzanego JFrog Artifactory. - Napastnicy mogą tworzyć tokeny zapewniające uprawnienia administratora. - Przejęcie Artifactory może zagrozić pakietom pobieranym automatycznie przez systemy budowania i wdrażania. - JFrog udostępnił poprawki, lecz sama aktualizacja binariów nie unieważnia wcześniej wydanych tokenów. Krytyczna podatność w JFrog Artifactory, oznaczona jako CVE-2026-82329, jest wykorzystywana w atakach do tworzenia tokenów zapewniających uprawnienia administratora. Problem dotyczy domyślnej konfiguracji samodzielnie zarządzanych instancji tego narzędzia. JFrog Artifactory służy do przechowywania, porządkowania, zabezpieczania i dystrybucji pakietów oraz plików używanych przez oprogramowanie. Badacze z firmy watchTowr zaobserwowali napastników tworzących własne tokeny administracyjne. ## Luka pozwala ominąć uwierzytelnianie Podatność znajduje się w mechanizmie uwierzytelniania. Napastnik, który ma dostęp sieciowy do podatnej instancji, może wykorzystać błąd bez wcześniejszego uwierzytelnienia i uzyskać uprawnienia administratora. Z dostępnych informacji wynika, że problem występuje w domyślnej konfiguracji samodzielnie zarządzanego Artifactory. Szczegóły techniczne luki pozostają ograniczone, a komunikat JFrog nie opisuje dokładnie sposobu jej wykorzystania. - Podatność otrzymała identyfikator CVE-2026-82329. - Aktywne wykorzystanie zaobserwowali badacze z firmy watchTowr. - Napastnik może tworzyć tokeny administracyjne i wykonywać działania z szerokim zakresem uprawnień. - Według JFrog środowiska JFrog Cloud były już chronione przed tym problemem. ## Ryzyko obejmuje cały łańcuch dostaw oprogramowania Przejęcie samego repozytorium może być dopiero początkiem problemu. Artifactory przechowuje pliki binarne i pakiety, które następnie pobierają systemy budowania oraz wdrażania oprogramowania. Collin Hogue-Spears, starszy dyrektor ds. zarządzania rozwiązaniami w firmie Black Duck, zwraca uwagę, że systemy downstream mogą ufać artefaktom z repozytorium i pobierać je automatycznie. Osoba z uprawnieniami administratora mogłaby więc zastępować zaufane komponenty, co potencjalnie otwierałoby drogę do wykonania złośliwego kodu w kolejnych systemach. Zakres możliwych działań po uzyskaniu uprawnień jest szeroki. Zgodnie z opisem sprawy napastnik może między innymi przeglądać użytkowników, grupy i topologie federacyjne, odczytywać artefakty, zmieniać ustawienia bezpieczeństwa oraz zatruwać istniejące pakiety. Nie oznacza to jednak, że w każdym przypadku doszło do pełnego przejęcia serwera albo że złośliwe pakiety zostały faktycznie dostarczone do systemów odbiorców. Na obecnym etapie nie ma publicznych informacji pozwalających określić skalę takich zdarzeń. ## JFrog wydał poprawki, ale tokeny wymagają osobnej uwagi JFrog zaadresował problem 28 sierpnia, udostępniając poprawione wersje Artifactory: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 oraz 7.161.20. Dostawca przekazał, że środowiska JFrog Cloud były już zabezpieczone. Istotnym elementem sprawy jest jednak sposób działania tokenów dostępu. Hogue-Spears wskazuje, że JFrog traktuje je jako niezależne poświadczenia, które mają własne mechanizmy wygasania i unieważniania. Sama aktualizacja plików binarnych Artifactory nie unieważnia zatem tokenu wydanego wcześniej. To rozróżnienie ma znaczenie dla organizacji, które mogły korzystać z podatnych instancji. Aktualizacja do jednej z wersji zawierających poprawkę usuwa podatność w oprogramowaniu, ale nie odpowiada automatycznie na pytanie, czy przed aktualizacją utworzono dodatkowe tokeny. W przypadku podejrzenia wykorzystania problemu administratorzy powinni oprzeć dalsze działania na zaleceniach JFrog dotyczących unieważniania poświadczeń i analizy śladów w środowisku. Nie wiadomo jeszcze, ilu użytkowników mogły objąć ataki ani czy w każdym zaobserwowanym przypadku doszło do naruszenia serwera. Brakuje również szczegółów dotyczących telemetrii i wskaźników kompromitacji. Serwis BleepingComputer zwrócił się do JFrog z prośbą o potwierdzenie aktywności napastników, lecz do czasu publikacji nie otrzymał odpowiedzi. Potwierdzone pozostają informacje o krytycznej luce, obserwowanym wykorzystaniu oraz wydaniu poprawek dla wskazanych wersji Artifactory. ## Wyjaśnienie pojęć ### [CVE](https://najnowsze-informacje.pl/definicje/cve) System oznaczania i katalogowania publicznie znanych podatności w oprogramowaniu. Numer CVE jednoznacznie identyfikuje konkretny błąd bezpieczeństwa. ### [uwierzytelnianie](https://najnowsze-informacje.pl/definicje/uwierzytelnianie) Proces sprawdzania, czy użytkownik, urządzenie lub usługa ma potwierdzoną tożsamość i może uzyskać dostęp do określonego zasobu. Może wykorzystywać hasło, klucz, certyfikat lub inny mechanizm. ### [Łańcuch dostaw oprogramowania](https://najnowsze-informacje.pl/definicje/lancuch-dostaw-oprogramowania) Łańcuch dostaw oprogramowania obejmuje narzędzia, pakiety i procesy używane do tworzenia, przechowywania oraz wdrażania aplikacji. ## Źródło pierwotne [BleepingComputer](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-jfrog-artifactory-flaw-to-forge-admin-tokens/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-09-02T20:16:40.957Z - **Ostatnia aktualizacja:** 2026-09-02T20:29:44.085Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-jfrog-artifactory-wykorzystywana-do-tworzenia-tokenow-administratora](https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-jfrog-artifactory-wykorzystywana-do-tworzenia-tokenow-administratora) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-jfrog-artifactory-wykorzystywana-do-tworzenia-tokenow-administratora/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-jfrog-artifactory-wykorzystywana-do-tworzenia-tokenow-administratora/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Krytyczna luka w JFrog Artifactory wykorzystywana do tworzenia tokenów administratora”, 2026-09-02, https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-jfrog-artifactory-wykorzystywana-do-tworzenia-tokenow-administratora