ב-Artifactory בהתקנה עצמית תוקנה חולשה שמאפשרת להסלים הרשאות, והמקור שלה הוא בדיקה שהסתכלה על הדבר הלא נכון: היא אימתה את החתימה של ה-token ואת מי שהנפיק אותו, ולא את מה שה-token הזה מורשה לעשות. הציון הוא 8.1 מתוך 10, וב-11 בספטמבר 2026 נכנסה החולשה לקטלוג החולשות המנוצלות בפועל של CISA.

מה החולשה?

token הוא פתק חתום שהמערכת מנפיקה למשתמש או לתהליך אוטומטי במקום סיסמה, והוא נושא בתוכו שני דברים שונים: מי אני, ומה מותר לי. החלק השני, מה מותר לי, נקרא ה-scope של ה-token, והוא מה שמאפשר להנפיק פתק לצורך אחד מוגדר בלי למסור איתו את כל המערכת.

הרשומה מתארת מצב שבו הבדיקה עצרה בחצי הדרך. השרת אימת שהחתימה תקינה ושהגורם שהנפיק את ה-token הוא מי שהוא טוען להיות, ובזה הסתפק. את השאלה מה ה-token הזה מורשה לעשות הוא לא שאל. מי שהחזיק פתק חתום למטרה צרה יכול היה להשתמש בו לפעולות שמעולם לא נכללו בה. הסיווג הוא CWE-863, בדיקת הרשאות שגויה, כלומר הבדיקה קיימת ורצה, והיא בודקת את הדבר הלא נכון.

זה גם מה שקובע את נקודת הפתיחה של התוקף. הווקטור מסמן שנדרשת הרשאה נמוכה, כלומר חשבון או token קיים כלשהו, ולא גישה אנונימית מהאינטרנט.

מי מושפע?

הרשומה מציינת את Artifactory בהתקנה עצמית, Self Hosted, בגרסאות שלפני 7.133.11. הניסוח הזה חשוב: מדובר בהתקנות שהארגון מריץ בעצמו.

Artifactory הוא המקום שבו צוות פיתוח שומר את החבילות שהוא בונה ואת אלה שהוא מוריד מבחוץ, ולכן הסלמת הרשאות בו אינה נשארת עניין פנימי של המוצר. מי שמשיג שם הרשאות גבוהות מגיע לרכיבים שנכנסים אחר כך לתוכנה שהארגון משחרר. בישראל זה נוגע לצוותי פיתוח ו-DevOps שמריצים את המוצר אצלם, ולא למשתמש הפרטי.

האם מנוצלת בפועל?

כן. ב-11 בספטמבר 2026 הוסיפה CISA את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע כי תוקפים מנצלים אותן בפועל, עם מועד תיקון לגופים הפדרליים ב-25 בספטמבר 2026.

בין המקורות שהרשומה מפנה אליהם נמצא פרסום של חברת Wiz על ניצול בשטח, שמתייחס לחולשה הזאת ולעוד אחת ב-Artifactory לצידה. לדף הקטלוג של CISA יש רשומה נפרדת לחולשה.

מה עושים?

1. בדקו את הגרסה המותקנת במסך הניהול של Artifactory. כל מה שמתחת ל-7.133.11 נמצא בטווח.
2. עדכנו ל-7.133.11 ומעלה. עמוד השחרורים של JFrog מפרט את הגרסאות, והודעות האבטחה של היצרן מרכזות את ההנחיות.
3. מכיוון שהחולשה עובדת דרך token קיים, עברו על ה-token-ים שהונפקו בהתקנה ובטלו כאלה שאינם בשימוש או שנוצרו לפרויקטים שנגמרו.

העדכון סוגר את החולשה. ביטול ה-token-ים מטפל במי שכבר מחזיק פתק.