공격자들, JFrog Artifactory 취약점 연쇄 악용해 관리자 권한 탈취 및 백도어 설치

공격자들이 소프트웨어 빌드 파이프라인이 패키지를 가져오는 저장소인 JFrog Artifactory의 두 가지 취약점을 연결해 자체 호스팅 서버의 관리자 권한을 탈취하고 백도어를 심었다고 클라우드 보안 기업 Wiz가 보고서에서 밝혔습니다.

Wiz는 8월 15일부터 9월 8일 사이에 이 공격을 포착했습니다. JFrog는 두 취약점 모두 그 이전에 패치를 배포한 상태였으므로, 업데이트를 적용하지 않은 서버만 공격에 노출됐습니다.

두 취약점 중 어느 하나만으로는 관리자 권한을 얻을 수 없습니다.

• CVE-2026-42018: 익명 접근이 비활성화된 상태에서도 Artifactory가 로그인하지 않은 호출자에게 내부 익명 사용자 토큰을 반환합니다.
• CVE-2026-42016: Artifactory가 토큰의 서명과 발급자만 확인할 뿐 허용 권한을 검사하지 않아, 위 낮은 권한 토큰을 관리자 범위 토큰으로 교환할 수 있습니다.

Wiz가 확인한 모든 사례는 유사한 패턴을 따랐습니다. 공격자는 토큰 엔드포인트에 인증 없이 요청을 보내 내부 익명 사용자 토큰을 받은 후, Artifactory의 토큰 생성 엔드포인트에서 이를 관리자 범위 토큰으로 교환했습니다.

이렇게 발급된 두 번째 토큰은 익명 사용자명을 그대로 유지합니다. 해당 토큰으로 수행한 관리자 작업은 실명 계정이 아닌 token:anonymous로 로그에 기록됩니다.

일부 사례에서 공격자는 첫 번째 요청부터 새 관리자 계정 생성까지 5분 이내에 완료했습니다.

이 연쇄 공격은 두 취약점 중 하나만 없어도 차단되므로 단독 취약점보다 영향 범위가 좁습니다. JFrog가 공개한 영향 범위 기준으로 CVE-2026-42016은 7.133.11까지이므로, 7.146 및 7.161 브랜치는 해당 범위를 벗어납니다.

JFrog는 CVE-2026-42018 패치를 7.146 브랜치에는 4월 28일, 7.133 브랜치에는 8월 12일 — Wiz가 확인한 공격 시작 3일 전 — 에 배포했습니다.

공격자들이 관리자 권한으로 수행한 작업은 사례마다 달랐으며, Wiz는 모든 단계가 단일 공격자에 의해 수행된 것은 아니라고 밝혔습니다.

침해된 서버들에서 공격자들은 관리자 계정을 생성해 남겨뒀습니다. Artifactory의 플러그인 프레임워크를 통해 악성 Groovy 플러그인을 설치해 서버에서 코드를 실행하기도 했습니다. 일부는 플러그인 실행 엔드포인트를 통해 셸 명령을 실행해 파일을 탐색하고 목록을 조회했습니다.

드로퍼(dropper, 악성코드를 설치하는 프로그램)는 HTTP를 통해 바이너리를 내려받아 /tmp 같이 누구나 쓸 수 있는 디렉터리에 저장하고 C2(Command-and-Control, 명령·제어) 채널을 열었습니다. Wiz는 여러 사례에서 C2 기능을 갖춘 커스텀 Rust 백도어가 설치되는 것도 확인했습니다.

같은 보고서에 등장하는 세 번째 취약점 CVE-2026-82329는 9월 1일부터 9월 8일 사이에 별도로 악용됐으며, 신규 브랜치 서버도 영향받을 수 있는 이유가 바로 이 취약점입니다.

이 취약점은 Artifactory의 기본 설정을 표적으로 하며 추가 취약점 없이 단독으로 악용 가능한 CVSS 9.8의 심각한 인증 우회 취약점입니다. 네트워크 접근 권한이 있는 비인증 공격자가 7.161까지의 6개 릴리즈 브랜치에서 관리자 권한을 획득할 수 있습니다.

The Hacker News는 9월 1일, JFrog가 해당 취약점을 공개한 지 며칠 만에 공격자들이 이를 통해 관리자 토큰을 생성하기 시작했다고 보도했습니다. CISA는 9월 2일 이 취약점을 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 목록에 추가하고 연방기관에 9월 5일까지 패치를 완료하도록 했습니다.

CDN(콘텐츠 전송 네트워크) 기업 Fastly는 분석 보고서에서 9월 1일 공개 익스플로잇이 등장한 후 스캐닝이 뒤따랐다고 밝혔습니다. Fastly는 9월 2일 하루에만 자사 플랫폼에서 약 406,000건의 악용 시도를 탐지했으며, 이는 트래픽에서 포착된 시도 횟수로 실제 침해 건수와는 다릅니다.

해당 취약점을 통해 침해된 서버에서 Wiz는 공격자들이 시스템 설정을 읽고, 여러 사례에서 클러스터 join key(Artifactory 노드들이 서로 등록할 때 사용하는 공유 비밀 값)를 탈취하는 것을 확인했습니다.

설치할 버전

자체 호스팅 Artifactory를 JFrog 보안 권고에 명시된 릴리즈 브랜치별 수정 빌드로 업그레이드하세요. JFrog는 클라우드 인스턴스는 조치가 필요 없다고 밝혔습니다.

CVE 설명 영향 버전 수정 버전 CVE-2026-42018 로그인하지 않은 호출자에게 내부 익명 사용자 토큰을 반환 7.111.20 미만, 각 브랜치의 7.117.27, 7.125.19, 7.133.28, 7.146.8 미만 7.111.20, 7.117.27, 7.125.19, 7.133.28, 7.146.8 CVE-2026-42016 낮은 권한 토큰을 관리자 범위 토큰으로 교환 가능 7.133.11 이전 7.133.11 CVE-2026-82329 비인증 공격자에게 단독으로 관리자 권한 부여 7.111.21 미만, 각 브랜치의 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20 미만 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20

JFrog는 CVE-2026-42016의 수정 버전으로 7.133.11 하나만 제시하며 브랜치별 수정 버전을 별도로 명시하지 않습니다. 권고문에는 7.117.28처럼 구버전 브랜치의 더 높은 빌드가 이 취약점을 패치하는지 여부도 언급되지 않습니다. The Hacker News는 이 점을 JFrog에 질의했으며, 침해된 서버가 어떤 버전을 실행 중이었는지를 Wiz에도 문의한 상태입니다.

CVE-2026-82329와 관련해 JFrog는 빠른 업그레이드가 어려운 경우를 위한 임시 조치를 공개했습니다. 무작위 값을 생성해 system.yaml에 추가 join key로 등록하면 본인이 알고 있는 키만 서비스 등록에 허용됩니다.

두 개의 연쇄 취약점에 대해서는 참고한 권고문이나 보고서 어디에도 임시 조치 방법이 없습니다.

패치가 되돌리지 못하는 것

공격자가 생성한 관리자 계정은 소프트웨어를 업데이트해도 사라지지 않습니다. Wiz는 두 취약점 연쇄 공격과 CVE-2026-82329 모두를 통해 이러한 계정이 생성되는 것을 확인했습니다.

CVE-2026-82329와 관련해 Fastly는 노출된 서버를 침해된 것으로 간주할 것을 권고합니다. "패치를 적용해도 이미 발급된 토큰은 무효화되지 않는다"고 Fastly는 밝혔습니다.

업그레이드는 공격자가 이미 탈취한 join key도 변경하지 않습니다. Fastly는 플랫폼 join key 교체, 8월 28일 이후 발급된 액세스 토큰 전수 취소, 관리자 계정·저장소·설정 변경 이력 검토를 권고합니다.

확인 방법

가장 명확한 신호는 권한을 초과하는 행동입니다. 내부 익명 사용자 또는 낮은 권한 계정이 토큰을 생성하거나, 사용자를 조회하거나, 플러그인을 읽고 쓰는 경우가 이에 해당합니다.

다음으로 아무도 의도적으로 만들지 않은 관리자 계정을 찾아보세요. Wiz가 확인한 계정 대부분은 0xTerror처럼 PoC(개념 증명) 느낌의 이름이거나, 무작위 문자가 붙은 svc_, labadmin_ 형태였습니다. jfrog-distribution, jfrog-insight, repo-service처럼 정상 계정으로 위장한 이름도 있었습니다. Wiz 보고서에는 공격자 주소와 페이로드 해시가 포함돼 있습니다.

CVE-2026-42016은 7월 27일 Artifactory 권고문 일괄 공개 시 함께 공개됐으며, 그중 일부는 OpenAI 연구자들의 기여를 명시하고 있습니다. The Hacker News는 7월에 JFrog가 내부 평가 중 OpenAI 모델이 Artifactory 제로데이를 악용했다는 사실을 확인했으며, 양사 모두 어떤 CVE 기록이 해당 취약점과 일치하는지 밝히지 않았다고 보도한 바 있습니다.