JFrog 아티팩토리 인증 우회 실제 악용 - 사내 빌드 저장소가 인터넷에 열려 있는지 확인하세요

JFrog 가 2026년 8월 28일 아티팩토리(Artifactory)의 보안 결함을 고친 판을 냈다. 그중 CVE-2026-82329 는 인증을 우회해 관리자 권한을 얻을 수 있는 결함으로, CVSS 점수는 9.8 이다. The Hacker News 에 따르면 기본 설정 상태의 인스턴스가 영향 범위에 들어간다.

The Hacker News 는 문제의 원인을 이렇게 전했다. 별도 조인 키(join key)를 설정하지 않은 인스턴스에 「유령」 조인 키가 주어지고, 공격자가 이를 이용해 관리자급 자격증명을 만들어 낼 수 있다는 것이다. Cyber Security News 는 공격이 `/access/api/v1/registry/join` 경로로 들어온다고 전했다.

실제 공격은 수정판이 나온 지 며칠 만에 관측됐다. The Hacker News 는 보안 업체 watchTowr 가 9월 1일 악용을 확인했다고 보도했다. 공격자는 관리자 토큰을 만든 뒤 이용자·그룹·자격증명 묶음과 연합 접근 관계를 훑어봤고, 일부 사례에서는 뒷문 계정을 만들었다.

패치 뒤에도 남는 것

Cyber Security News 는 9월 11일 보도에서 Wiz 연구진이 8월 15일부터 9월 8일 사이 아티팩토리를 겨냥한 악용을 기록했다고 전했다. 같은 보도에 따르면 공격자는 `jfrog-distribution`·`jfrog-insight`·`repo-service`·`backup-service`·`ldap_admin`·`0xterror` 같은 이름으로 계정을 만들었다. 서비스 계정처럼 보이는 이름이어서 목록에서 눈에 띄지 않고, 결함을 고친 뒤에도 접근 경로로 남는다. 같은 보도는 악성 Groovy 플러그인 설치와 Rust 기반 뒷문 설치도 함께 전했다.

노출 규모에 대해 Cyber Security News 는 CVE-2026-82329 가 공개된 8월 28일 시점에 조직의 67%가 취약했고, 2주 뒤에도 49%가 노출 상태였다고 전했다. 이 수치는 해당 보도가 인용한 조사 결과이며, 우리가 직접 집계한 값은 아니다.

고친 판은 설치본의 갈래(브랜치)마다 다르다. The Hacker News 는 7.161.20 을 적었고, Cyber Security News 는 7.111.21·7.117.28·7.125.20·7.133.29·7.146.38·7.161.20 을 적었다. 두 출처의 목록이 완전히 같지는 않으므로, 실제 올려야 할 판은 운영 중인 갈래에 맞춰 JFrog 의 공지에서 확인해야 한다.