JFrog Artifactory เสี่ยงแจก token โดยไม่ล็อกอิน CVE-2026-42018
ผู้ดูแล JFrog Artifactory แบบ Self-Hosted ที่อยู่ในช่วงรุ่นได้รับผลกระทบควรเร่งอัปเดต เพราะ CVE-2026-42018 ถูกใช้โจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- Artifactory อาจส่ง internal anonymous-user token กลับให้ผู้เรียกที่ยังไม่ยืนยันตัวตน แม้ปิด anonymous access ทำให้เสี่ยงเปิดเผยทรัพยากรสำคัญ
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ JFrog Artifactory แบบ Self-Hosted ในช่วงรุ่นที่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- อัปเดตตามสายรุ่นเป็น 7.111.20, 7.117.27, 7.125.19, 7.133.28 หรือ 7.146.8 ส่วน Cloud ที่ได้รับผลกระทบผู้ผลิตระบุว่าป้องกันแล้ว
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-42018 ใน JFrog Artifactory แม้ปิด anonymous access ระบบก็อาจคืน token ภายในของผู้ใช้ anonymous ให้คนที่ยังไม่ได้ล็อกอินได้ ข้อมูลสำคัญเลยอาจถูกเปิดเผย ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว CISA เพิ่มเข้ารายการวันที่ 11 กันยายน 2026 และกำหนดวันแก้เป็น 25 กันยายน 2026 ตาม ข้อมูล KEV ทางการของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น JFrog Artifactory แบบ Self-Hosted แล้วเร่งอัปเดตให้ตรงสายรุ่นในตาราง เพราะมีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
Artifactory อาจส่ง internal anonymous-user token ให้คนที่ยังไม่ยืนยันตัวตน ทั้งที่ผู้ดูแลปิด anonymous access แล้ว การตั้งค่าให้ต้องล็อกอินก่อนเลยยังกันช่องโหว่นี้ไม่ได้ ผลกระทบที่ประกาศระบุคือคนที่ไม่มีสิทธิ์อาจเข้าถึงข้อมูลสำคัญ
JFrog จัดปัญหานี้เป็น CWE-287 หรือ Improper Authentication และให้ระดับ High ใน CVE record ผู้ผลิตให้คะแนน CVSS 3.1 ที่ 7.5 ผู้โจมตีเข้าถึงผ่านเครือข่ายได้โดยไม่ต้องมีสิทธิ์ก่อน และไม่ต้องให้ผู้ใช้กดอะไร ผลกระทบด้านความลับของข้อมูลอยู่ในระดับสูง
ใครโดนและรุ่นที่แก้
ประกาศ JFrog Security Advisories และ CVE record ระบุช่วงรุ่นที่ได้รับผลกระทบและรุ่นที่แก้แล้วดังนี้
| ผลิตภัณฑ์ / ช่วงรุ่นที่ได้รับผลกระทบ | รุ่นที่แก้แล้ว |
|---|---|
| Artifactory ต่ำกว่า 7.111.20 | 7.111.20 |
| Artifactory ตั้งแต่ 7.117.0 แต่ต่ำกว่า 7.117.27 | 7.117.27 |
| Artifactory ตั้งแต่ 7.125.0 แต่ต่ำกว่า 7.125.19 | 7.125.19 |
| Artifactory ตั้งแต่ 7.133.0 แต่ต่ำกว่า 7.133.28 | 7.133.28 |
| Artifactory ตั้งแต่ 7.146.0 แต่ต่ำกว่า 7.146.8 | 7.146.8 |
ฝั่ง Self-Hosted ให้อัปเกรดเป็นรุ่นแก้ที่ตรงกับสายรุ่นที่ใช้ ส่วน Cloud ที่ได้รับผลกระทบ JFrog ระบุว่าป้องกันแล้ว ผู้ใช้ Cloud ไม่ต้องทำอะไรเพิ่มสำหรับช่องโหว่นี้
ต้องทำอะไร
เริ่มจากตรวจเลขรุ่นจริงและรูปแบบการติดตั้งของ Artifactory แล้วเทียบกับตาราง อย่าใช้เพียงสถานะปิด anonymous access มาตัดสินว่าปลอดภัย ก่อนอัปเดตควรสำรองข้อมูลและค่าตั้งตามขั้นตอนของระบบ พร้อมเตรียมวิธีกู้คืน จากนั้นใช้ขั้นตอนอัปเกรดของ JFrog ที่ตรงกับการติดตั้งนั้น โดยอ่าน Artifactory Self-Managed Releases ประกอบ
หลังอัปเดตให้ตรวจเลขรุ่นซ้ำ ทดสอบการล็อกอินและการดึงแพ็กเกจด้วยบัญชีที่มีสิทธิ์ ตรวจด้วยว่าระบบปฏิเสธคำขอที่ไม่มีสิทธิ์ตามที่ตั้งไว้ ใช้ข้อมูลทดสอบที่ไม่เป็นความลับ หากพบการเข้าถึงที่น่าสงสัย ให้เก็บ log และส่งต่อทีมที่รับผิดชอบตรวจเหตุ
ประกาศเฉพาะช่องโหว่นี้ไม่ได้ให้ workaround แทนการอัปเดต คำแนะนำของผู้ผลิตสำหรับ Self-Hosted คือใช้รุ่นที่แพตช์แล้ว ส่วน CISA ให้แก้ตามคำแนะนำผู้ผลิต และยุติการใช้ผลิตภัณฑ์หากไม่มีมาตรการแก้ไขที่ใช้ได้ กำหนด 25 กันยายน 2026 เป็นวันแก้ไขในรายการ KEV ของ CISA ผู้ดูแลระบบทั่วไปควรใช้ข้อมูลการโจมตีจริงเป็นเหตุผลในการเร่งจัดลำดับงานด้วย
ส่วนตัวผมแนะนำให้เร่งแพตช์เมื่อพบรุ่นที่ได้รับผลกระทบ โดยเฉพาะระบบที่เข้าถึงจากอินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV, CVE-2026-42018 และ JFrog Security Advisories หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย