CVE-2026-82329 — JFrog Artifactory 未認証認証バイパス（大量悪用ツール）

重大な認証バイパス（CVSS 9.8）— 実環境で活発に悪用中

このツールは、CVE-2026-82329 の大量悪用ツールです。この脆弱性により、ネットワークアクセスを持つ未認証の攻撃者が、セルフホスト型 JFrog Artifactory インスタンスで完全な管理者権限を取得できます。単一ターゲットおよびマルチスレッドによるバッチスキャンをサポートしています。

⚠️ 脆弱性の概要

根本原因

デフォルトインストールでは、JFrog Access は信頼された検証者セットに空のジョインキーを保持します。この空文字列が完全に既知の32バイト HMAC シークレットとなり、攻撃者が有効なクラスター「ジョイン」JWT を偽造できるようになります。

攻撃チェーン

1. 空のキー（alg=HS256、kid=SHA256("")）を使用してジョイン JWT を偽造します。
2. /access/api/v1/registry/join に POST 送信 — 認証は不要 → admin スコープを持つ SERVICE トークンが返されます。
3. /access/api/v1/tokens に POST 送信 — サービス トークンを使用して完全な管理アクセストークンを発行します。
4. 管理者トークンを使用して以下を実行:
   • システム設定の読み取り
   • 既存の全アクセストークンの一覧表示 / 窃取
   • 管理者ユーザーとリポジトリの作成
   • アーティファクトの改ざん（サプライチェーン攻撃）

📦 影響を受けるバージョン

JFrog Cloud は影響を受けません — セルフマネージドインスタンスのみが対象です。

🚀 機能

• ✅ 単一ターゲットモード（-u）
• ✅ ファイルからのバッチスキャン（-f targets.txt）
• ✅ マルチスレッド（-t 20）
• ✅ 管理者権限の自動証明 — 管理者専用エンドポイントにアクセスしてトークンを検証
• ✅ 永続的な管理者ユーザーの作成（--create-admin USER:PASS）
• ✅ トークンのみモード（--token-only）— スクリプト用
• ✅ スピナー付きプログレスバーとリアルタイム統計
• ✅ 出力ファイル:
  • artifactory_pwned.txt — 管理者トークン付きの脆弱なターゲット
  • artifactory_failed.txt — エラー理由付きの失敗したターゲット

📥 インストール

# リポジトリのクローン
git clone https://github.com/0xCyp1337/CVE-2026-82329.git
cd CVE-2026-82329
python3 CVE-2026-82329.py -h

# 外部依存関係なし — Python 標準ライブラリのみを使用
# Python 3.8+ でテスト済み