一、案例背景
JFrog Ltd. 是一家总部位于以色列的 DevOps 软件公司，成立于 2008 年，2020 年在美国纳斯达克上市。该公司旗下的核心产品 Artifactory 是全球部署最广泛的制品仓库管理平台之一，被超过 7,000 家企业客户用于存储、管理和分发软件构建过程中的二进制制品——包括容器镜像、Maven 包、npm 模块、Docker 镜像等。从本质上讲，Artifactory 是软件供应链中的“中枢神经”：开发团队编写的代码经过 CI/CD 流水线编译后，最终产物存储在 Artifactory 中，再由其分发到测试、预生产和生产环境。
Artifactory 的市场地位使其成为软件供应链的关键节点。据 JFrog 2025 年财报，其年度营收已超过 4.5 亿美元，客户涵盖财富 100 强中的大多数科技与金融企业。然而，正是这种“处于供应链核心位置”的特性，使得 Artifactory 一旦出现安全漏洞，其影响将呈指数级扩散——不仅危及 JFrog 自身，更可能波及数千家依赖其产品的下游企业。
2026 年 9 月，云安全公司 Wiz.io 披露了 Artifactory 自托管版本中三个正在被积极利用的零日漏洞：
- CVE-2026-42018（高危）：即使已禁用匿名访问，Artifactory 仍可能向未经身份验证的请求者返回内部匿名用户令牌；
- CVE-2026-42016（高危）：令牌验证机制存在缺陷，低权限攻击者可利用有效令牌获取更高权限；
- CVE-2026-82329（严重）：允许未经身份验证的攻击者直接获得管理控制权。
攻击者将前两个漏洞串联利用，可在不到五分钟内完成从“未认证”到“持久化管理员”的权限提升。具体攻击路径为：向 /access/api/v1/aws/token/ 发送未认证 POST 请求获取匿名 JWT（利用 CVE-2026-42018），再通过 /access/api/v1/tokens 将该 JWT 兑换为管理员作用域令牌（利用 CVE-2026-42016）。权限提升后的令牌保留了匿名用户名，攻击者在后续请求中显示为 token:anonymous，极具隐蔽性。
……