"JFrog Artifactory เขียนหลุด Docker cache: CVE-2026-66384"
"ผู้ดูแลระบบ JFrog Artifactory ที่ติดตั้งเองและใช้รุ่นที่ได้รับผลกระทบควรเร่งอัปเดต เพราะ CISA ยืนยันว่ามีการใช้ช่องโหว่โจมตีจริงแล้ว"
1-minute summary
- Symptom / problem
- ผู้ใช้ที่ยืนยันตัวตนอาจเขียนข้อมูลออกนอกพาธ Docker cache เมื่อ remote repository อยู่ภายใต้เงื่อนไขเฉพาะ
- Who should read
- ผู้ดูแลระบบ JFrog Artifactory ที่ติดตั้งเองและใช้รุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดตเป็น 7.146.35 หรือ 7.161.16 ตามสายรุ่น โดย CISA กำหนดเส้นตายไว้ที่ 2026-09-10
พอดีไล่ฟีด CISA KEV เจอประกาศของ JFrog Artifactory หมายเลข CVE-2026-66384 ระบบตรวจพาธไม่ครบ ผู้ใช้ที่ล็อกอินแล้วอาจเขียนข้อมูลออกนอกพื้นที่ Docker cache ได้ในเงื่อนไขเฉพาะ ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว และ CISA เพิ่มเข้าบัญชี KEV วันที่ 27 สิงหาคม 2026 พร้อมกำหนดวันแก้ไขเป็น 10 กันยายน 2026 ตามข้อมูล KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากติดตั้ง JFrog Artifactory เองและใช้รุ่นที่ได้รับผลกระทบ ให้เร่งอัปเดตตามสายรุ่นโดยไม่รอรอบบำรุงรักษาปกติ เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
เกิดอะไรขึ้น
ช่องโหว่นี้เป็น CWE-22 หรือการตรวจพาธที่ยังเปิดให้เขียนออกนอกไดเรกทอรีที่กำหนด พื้นที่ที่ควรจำกัดอยู่ใน Docker cache อาจถูกข้ามได้ ผู้โจมตีต้องล็อกอินก่อน และ remote repository ต้องเข้าเงื่อนไขเฉพาะตามประกาศ ผู้ผลิตยืนยันผลกระทบเรื่องการเขียนข้อมูลผิดพื้นที่
ระเบียน CVE ที่ JFrog จัดทำให้คะแนน CVSS 3.1 ที่ 5.3 ระดับ Medium โดยประเมินว่าโจมตีผ่านเครือข่ายได้ ต้องมีสิทธิ์ระดับต่ำ มีความซับซ้อนสูง และไม่ต้องอาศัยการกระทำจากผู้ใช้อื่น ผลกระทบหลักตามคะแนนอยู่ที่ความถูกต้องของข้อมูล ผู้ผลิตไม่ได้ระบุว่าช่องโหว่นี้เพียงตัวเดียวทำให้รันคำสั่งหรือยึดเครื่องได้ ดูรายละเอียดในระเบียน CVE ของ JFrog
การต้องล็อกอินก่อนเป็นเงื่อนไขของช่องโหว่ แต่ไม่ได้ทำให้รุ่นที่มีปัญหาปลอดภัยโดยอัตโนมัติ สำหรับการจัดลำดับงานแพตช์ ควรดูสถานะถูกโจมตีจริงประกอบกับคะแนนความรุนแรงด้วย และไม่ใช้คะแนนระดับปานกลางเป็นเหตุให้เลื่อนการแก้ไข
ใครโดนและรุ่นที่แก้
JFrog เผยแพร่ประกาศช่องโหว่วันที่ 12 สิงหาคม 2026 ส่วนวันที่ของบทความนี้อิงวันเพิ่มเข้า KEV ตารางนี้ใช้ช่วงรุ่นตามระเบียน CVE โดยไม่นับรุ่นที่แก้แล้วเป็นรุ่นมีช่องโหว่
| ผลิตภัณฑ์ / ช่วงรุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ไข |
|---|---|
| Artifactory ต่ำกว่า 7.146.35 | 7.146.35 |
| Artifactory ตั้งแต่ 7.161.0 แต่ต่ำกว่า 7.161.16 | 7.161.16 |
ในประกาศ JFrog Security Advisories ผู้ผลิตแนะนำให้ระบบ Self-Hosted อัปเกรดตามสายรุ่นข้างต้น ส่วน JFrog Cloud ที่ได้รับผลกระทบได้รับการป้องกันแล้ว และประกาศระบุว่าผู้ใช้ Cloud ไม่ต้องดำเนินการเพิ่มเติมสำหรับช่องโหว่นี้
ต้องทำอะไร
เริ่มจากตรวจเลขรุ่นที่ระบบใช้งานจริง แล้วเทียบกับช่วงที่ได้รับผลกระทบ ก่อนอัปเกรดควรสำรองข้อมูลและค่าตั้งตามขั้นตอนขององค์กร เลือกรุ่นแก้ไขให้ตรงสาย และอ่านข้อกำหนดการอัปเกรดจากผู้ผลิต หลังดำเนินการให้ตรวจเลขรุ่นซ้ำ พร้อมทดสอบการดึงและจัดเก็บ Docker image ผ่าน repository ที่ใช้งานอยู่ เพื่อยืนยันว่าบริการทำงานได้ตามปกติ
ประกาศเฉพาะ CVE นี้ไม่ได้ให้ workaround สำหรับระบบที่ติดตั้งเองไว้แทนการอัปเกรด หากยังแพตช์ไม่ได้ ควรตรวจว่าใครเข้าถึงระบบได้บ้าง และติดต่อผู้ผลิตเพื่อหาวิธีลดความเสี่ยงระหว่างรออัปเดต
CISA ให้ดำเนินการตามคำแนะนำผู้ผลิต และให้หยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการแก้ไข กำหนด 10 กันยายน 2026 เป็นเส้นตายตามกรอบ KEV สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขต ไม่ใช่กำหนดทางกฎหมายสำหรับผู้ดูแลระบบทุกประเทศ แต่สถานะถูกโจมตีจริงเป็นเหตุผลให้ระบบที่ได้รับผลกระทบเร่งจัดการตามรายการของ CISA
ส่วนตัวผมให้รายการนี้เป็นงานเร่งแพตช์สำหรับ Artifactory ที่ติดตั้งเองและเข้าข่าย เพราะมีหลักฐานการใช้โจมตีจริงแล้ว ที่มา: CVE-2026-66384 (CVE.org) และ JFrog Security Advisories เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first