기업에서 소프트웨어 패키지를 저장·배포하는 데 널리 쓰이는 JFrog Artifactory에서 심각한 인증 우회(로그인 없이 관리자 권한을 얻는) 취약점(CVE-2026-82329)이 발견되어 실제 공격에 악용되고 있습니다. 공격자는 네트워크 접근만으로 스스로 관리자 토큰을 생성할 수 있으며, 이를 이용해 저장된 패키지를 악성 파일로 교체하는 공급망 공격으로 이어질 수 있습니다. 특히 패치 후에도 이미 발급된 토큰은 자동으로 무효화되지 않아 추가 조치가 필요합니다. JFrog는 8월 28일 여러 버전에서 패치를 배포했으며, 클라우드 환경은 이미 보호된 상태입니다. 자체 설치(self-managed) 방식으로 운영 중인 조직은 즉시 버전 업그레이드 및 기존 토큰 전수 점검이 요구됩니다.
JFrog Artifactory의 기본 설정에서 인증 없이 관리자 토큰을 위조할 수 있는 치명적 취약점(CVE-2026-82329)이 실제 공격에 악용됐다. 공격자들이 스스로 어드민 토큰을 생성하는 정황이 watchTowr 연구팀에 의해 포착됐다.
관리자 권한을 확보한 공격자는 사용자·그룹 열람, 보안 설정 변경, 패키지 교체(공급망 오염) 등이 가능하다. 빌드·배포 파이프라인이 Artifactory를 신뢰하는 구조이므로 하위 시스템 전체에 악성 코드가 전파될 수 있다.
Artifactory 기본 설정의 인증 처리 로직 결함으로, 인증되지 않은 네트워크 접근자도 어드민 토큰을 발급받을 수 있었다.
JFrog는 2026년 8월 28일 버전 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20에서 패치를 배포했다. JFrog Cloud 환경은 이미 보호 완료 상태다.
버전 업그레이드만으로는 이미 발급된 관리자 토큰이 자동 무효화되지 않으므로, 패치 후 반드시 전체 액세스 토큰을 감사하고 의심 토큰을 즉시 폐기해야 한다. 침해지표(IoC)가 아직 공개되지 않아 로그 기반 이상 접근 여부를 자체 점검해야 한다.
본문
JFrog Artifactory의 치명적 인증 우회 취약점(CVE-2026-82329)이 실제 공격에 악용되고 있습니다. 공격자들은 이 취약점을 이용해 관리자 권한을 부여하는 토큰을 생성하고 있습니다.
이 결함은 소프트웨어 패키지를 저장·정리·보호·배포하는 데 사용되는 저장소 관리자인 JFrog Artifactory의 자체 관리형(self-managed) 인스턴스 기본 설정에 존재합니다.
네트워크 접근 권한을 가진 인증되지 않은 공격자가 이를 악용해 관리자 권한을 획득할 수 있습니다.
공격적 보안(offensive security) 업체 watchTowr의 연구원들은 "공격자들이 스스로 어드민 토큰을 생성"하는 방식으로 이 취약점이 악용되고 있음을 관측했습니다.
취약점에 대한 세부 정보는 부족하며, JFrog의 보안 권고문도 기본 설정에서 악용 가능하다는 사실 외에 자세한 내용을 공개하지 않고 있습니다.
Vercel CEO Guillermo Rauch는 이 취약점의 영향이 Artifactory 자체 침해를 넘어 더 넓은 범위로 확장될 수 있다고 경고했습니다.
애플리케이션 보안 기업 Black Duck의 솔루션 관리 수석 디렉터 Collin Hogue-Spears는 BleepingComputer에 "Artifactory에 대한 관리자 접근 권한은 이미 하위 시스템이 신뢰하고 자동으로 가져오는 배포된 아티팩트(artifact, 빌드 산출물)에까지 영향을 미친다"고 말했습니다.
Spears는 또한 JFrog가 액세스 토큰을 자체 만료 및 폐기 메커니즘을 갖춘 독립적인 자격증명으로 처리하기 때문에, Artifactory 바이너리를 업그레이드하는 것만으로는 이미 발급된 토큰이 자동으로 무효화되지 않는다고 지적했습니다.
조직들이 빌드 및 배포 시스템이 사용하는 바이너리와 패키지를 저장하는 데 Artifactory를 활용하기 때문에, 관리자 권한을 확보한 공격자는 신뢰할 수 있는 아티팩트를 교체하고 잠재적으로 하위 시스템에서 악성 코드를 실행할 수 있습니다.
Rauch는 이 취약점이 자율 AI 에이전트와 관련된 최근 연구와 연관이 있을 수 있다는 추측도 제기했습니다.
JFrog는 8월 28일 Artifactory 버전 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20에서 이 문제를 해결했습니다. 벤더는 JFrog Cloud 환경은 이미 보호되어 있다고 밝혔습니다.
공격자가 자신의 어드민 토큰을 위조할 수 있다는 것은 사용자·그룹·페더레이션 토폴로지(federated topology) 열람, 아티팩트 읽기, 보안 설정 변경, 기존 패키지 오염 등 다양한 민감한 작업을 수행할 수 있음을 의미합니다.
그러나 침해의 실제 범위와 서버가 실제로 침해되었는지 여부는 아직 불명확합니다. 피해자 수, 텔레메트리 세부 정보, 침해지표(IoC, Indicators of Compromise)도 아직 확인되지 않은 상태입니다.
BleepingComputer는 JFrog에 보고된 활동에 대한 확인을 요청했으나 아직 답변을 받지 못했습니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
