Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-287

CVE-2026-82329

JFrog Artifactory'de kimlik doğrulama atlatma ve yönetici erişimi zafiyeti

JFrog Artifactory

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
3 Eyl 2026
Açık yaşı
60 gün
Kaydı açan
JFROG
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 2 Eyl 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 5 Eyl 2026.

Yönetici özeti

Yazılım paketlerinizi ve derleme çıktılarınızı barındıran Artifactory sistemlerine, herhangi bir şifre bilmeden tam yetkiyle girilebiliyor ve açık şu anda aktif olarak kullanılıyor. Bu durum yazılım tedarik zinciri güvenliğini ciddi biçimde tehdit eder. Güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

JFrog Artifactory'deki bir kimlik doğrulama zayıflığı (CWE-287), varsayılan yapılandırmada ağ erişimi olan kimliği doğrulanmamış bir saldırganın yönetici yetkisi elde etmesine izin verebilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir ve aktif olarak istismar edilmektedir. 7.111.21 öncesi sürümler ile 7.117, 7.125, 7.133, 7.146 ve 7.161 serilerinde belirtilen düzeltme sürümlerinden önceki tüm sürümler etkilenir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan Artifactory üzerinde yönetici haklarını ele geçirerek depolardaki yapıtlara erişebilir, bunları değiştirebilir veya silebilir ve sistemin yapılandırmasını kontrol edebilir.

Kaynaktaki açıklama (İngilizce)

JFrog Artifactory contains an authentication weakness that, under default configuration, may allow an unauthenticated attacker with network access to obtain administrative privileges.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Artifactory'yi kullandığınız sürüm serisine uygun düzeltilmiş sürüme yükseltin: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 veya 7.161.20 (ya da daha yenisi). Üretici
  2. CISA gereği, satıcının talimatlarına uygun şekilde önlemleri uygulayın; her varlığın internete açıklık durumunu değerlendirin ve CISA'nın BOD 26-04 yama yönergeleri ile adli bilişim ön inceleme gereksinimlerine uyun. CISA
  3. Önlemler uygulanamıyorsa ürünün kullanımını bırakmayı değerlendirin; bu durumda bulut hizmetleri için BOD 26-04 yönergelerini izleyin. CISA
  4. Yükseltme tamamlanana kadar Artifactory'ye ağ erişimini güvenilir IP adresleriyle sınırlandırın ve internetten erişimi kapatın. Genel öneri

Ek önlemler

  • Yönetici hesaplarını, yeni oluşturulan kullanıcıları, erişim belirteçlerini ve yapılandırma değişikliklerini gözden geçirerek olası ele geçirilme belirtilerini arayın. Genel öneri
  • Zafiyet istismar edilmiş olabileceğinden, depolardaki yapıtların bütünlüğünü doğrulayın ve yetkisiz değişiklik olup olmadığını kontrol edin. Genel öneri
  • Artifactory'yi doğrudan internete açmak yerine VPN veya ters vekil sunucu arkasında çalıştırın. Genel öneri
  • Yönetici girişlerini ve olağan dışı API isteklerini günlüklerde izleyin ve uyarı kuralları tanımlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
JFrog Artifactory < 7.111.21 7.111.21
≥ 7.117.0, < 7.117.28 7.117.28
≥ 7.125.0, < 7.125.20 7.125.20
≥ 7.133.0, < 7.133.29 7.133.29
≥ 7.146.0, < 7.146.38 7.146.38
≥ 7.161.0, < 7.161.20 7.161.20

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.