CVE-2026-82329 — Contournement d'authentification non authentifié JFrog Artifactory (Exploitation massive)

Contournement d'authentification critique (CVSS 9.8) — Activement exploité dans la nature

Cet outil est une exploitation massive pour CVE-2026-82329, une vulnérabilité qui permet à un attaquant non authentifié disposant d'un accès réseau d'obtenir des privilèges administratifs complets sur les instances JFrog Artifactory auto-hébergées. Il prend en charge l'analyse de cible unique et par lots avec multi-threading.

⚠️ Aperçu de la vulnérabilité

Cause racine

Dans les installations par défaut, JFrog Access conserve une clé de jointure vide dans l'ensemble des vérificateurs de confiance. Cette chaîne vide devient un secret HMAC de 32 octets entièrement connu, permettant à un attaquant de forger un JWT de « jointure » de cluster valide.

Chaîne d'attaque

1. Forger un JWT de jointure en utilisant la clé vide (alg=HS256, kid=SHA256("")).
2. POST /access/api/v1/registry/join — aucune authentification requise → renvoie un jeton SERVICE avec le champ d'application admin.
3. POST /access/api/v1/tokens — utilise le jeton de service pour générer un jeton d'accès administratif complet.
4. Utiliser le jeton admin pour :
   • Lire la configuration système
   • Lister / voler tous les jetons d'accès existants
   • Créer des utilisateurs admin et des dépôts
   • Empoisonner les artefacts (attaque sur la chaîne d'approvisionnement)

📦 Versions concernées

JFrog Cloud n'est PAS concerné — uniquement les instances auto-gérées.

🚀 Fonctionnalités

• ✅ Mode cible unique (-u)
• ✅ Analyse par lots à partir d'un fichier (-f targets.txt)
• ✅ Multi-threading (-t 20)
• ✅ Preuve automatique d'admin — vérifie le jeton en accédant aux points de terminaison réservés aux administrateurs
• ✅ Création d'utilisateur admin persistant (--create-admin USER:PASS)
• ✅ Mode jeton uniquement (--token-only) pour les scripts
• ✅ Barre de progression avec indicateur d'activité et statistiques en temps réel
• ✅ Fichiers de sortie :
  • artifactory_pwned.txt — cibles vulnérables avec jetons admin
  • artifactory_failed.txt — cibles échouées avec raisons d'erreur

📥 Installation

# Cloner le dépôt
git clone https://github.com/0xCyp1337/CVE-2026-82329.git
cd CVE-2026-82329
python3 CVE-2026-82329.py -h

# Aucune dépendance externe — utilise uniquement la bibliothèque standard Python
# Testé sur Python 3.8+