--- title: "JFrog Artifactory の CVE-2026-42016・CVE-2026-42018: トークンのスコープ検証不備と匿名トークンの返却、CISA KEV に 2 件とも掲載" url: https://n-t-p.io/worldsecurity/articles/jfrog-artifactory-token-validation-flaws-kev-cve-2026-42016-cve-2026-42018 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 高 cve: CVE-2026-42016, CVE-2026-42018 --- # JFrog Artifactory の CVE-2026-42016・CVE-2026-42018: トークンのスコープ検証不備と匿名トークンの返却、CISA KEV に 2 件とも掲載 > **TL;DR:** JFrog Artifactory（自社運用版）で、トークンのスコープ未検証による権限昇格（CVE-2026-42016、CVSS 8.8）と、匿名アクセス無効時の匿名トークン返却（CVE-2026-42018、CVSS 7.5）が見つかり、2 件とも CISA KEV に掲載済み。修正版へ更新し、トークン利用のログを点検する。 **要点** - CVE-2026-42016 はトークンの署名・発行元のみ検証しスコープを検証しない権限昇格（CWE-863、PR:L） - CVE-2026-42018 は匿名アクセス無効時にも内部の匿名ユーザー用トークンが認証なしの呼び出しに返りうる（CWE-287、PR:N） - いずれも CVSS 9 未満のため high。2 件とも KEV 2026-09-11 追加、期限 2026-09-25 - EPSS は 0.0864・0.0981。修正版の正確な番号・手口・規模・連鎖利用の有無は未確認 JFrog Artifactory（自社運用版）に、トークンまわりの認可・認証の不備が 2 件見つかり、CISA は 2 件とも 2026-09-11 に既知の悪用がある脆弱性（KEV）として追加しました（対応期限 2026-09-25）。CVE-2026-42016 は、トークンの署名と発行元だけを確認してスコープ（権限の範囲）を確認しないため、低い権限から権限昇格される問題です。CVE-2026-42018 は、匿名アクセスを無効にしていても、認証なしの呼び出しに内部の匿名ユーザー用トークンが返りうる問題です。いずれも CVSS v3.1 は 9 未満のため、本サイトでは high としています。 ## 概要 | 項目 | CVE-2026-42016 | CVE-2026-42018 | |---|---|---| | 問題 | トークンの署名・発行元だけを検証し、スコープを検証しない（CWE-863 認可の誤り） | 匿名アクセス無効時にも、内部の匿名ユーザー用トークンが認証なしの呼び出しに返りうる（CWE-287 不適切な認証） | | 攻撃条件 | ネットワーク経由。低い権限が必要（PR:L）。ユーザー操作は不要 | ネットワーク経由。認証不要（PR:N）。ユーザー操作は不要 | | 結果 | 権限昇格（機密性・完全性・可用性への高い影響） | 機密情報を含むリソースが見えうる（機密性への高い影響） | | 悪用状況 | CISA KEV に 2026-09-11 追加。攻撃の手口・規模は未確認 | CISA KEV に 2026-09-11 追加。攻撃の手口・規模は未確認 | ## 影響範囲 - CVE-2026-42016: Artifactory（自社運用版）7.133.11 より前の版が対象です（NVD の範囲）。 - CVE-2026-42018: NVD の範囲は 7.111.20 未満、7.117.0 以上 7.117.27 未満、7.125.0 以上 7.125.19 未満、7.133.0 以上 7.133.28 未満、7.146.0 以上 7.146.8 未満です。 - クラウド版の扱い、2 件を組み合わせた攻撃が成立するかは未確認です。 ## 対策 - JFrog のセキュリティ情報とリリースノートに従い、利用中の系統の修正版へ更新する。 - CISA は KEV の対応として、ベンダーの手順に沿った緩和を求めている。緩和策が用意できない場合は、製品の利用中止を検討する。 - 更新の前後で、想定外のトークン発行・利用、匿名ユーザーとしてのアクセス、権限の変更がないかをログで点検する。 - インターネットから Artifactory に直接届く構成の場合は、公開範囲を見直す。 ## 数値と出典（2026-11-03 時点） | 項目 | CVE-2026-42016 | CVE-2026-42018 | |---|---|---| | NVD の状態 | Analyzed（2026-07-27 公開） | Analyzed（2026-08-12 公開） | | CVSS v3.1 | 8.8（NVD。AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。JFrog 評価は 8.1 | 7.5（JFrog による。AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N） | | EPSS | 0.0864（パーセンタイル 0.951、2026-11-02 時点） | 0.0981（パーセンタイル 0.955、2026-11-02 時点） | | KEV | 2026-09-11 追加、期限 2026-09-25 | 2026-09-11 追加、期限 2026-09-25 | | ランサムウェア利用 | 不明（CISA） | 不明（CISA） | | CISA SSVC | — | 悪用: active、自動化可能: yes、技術的影響: partial | | 出典 | NVD、CISA KEV、JFrog セキュリティ情報、FIRST | 同左 | ## 未確認の点 - 各系統の修正版の正確な番号と、回避策の有無。 - 攻撃の標的・規模・手口、2 件を連鎖させた悪用の有無、ランサムウェアでの利用。 - クラウド版（SaaS）への影響の有無。 ## 出典 - [NVD CVE-2026-42016](https://nvd.nist.gov/vuln/detail/CVE-2026-42016) — NIST NVD - [NVD CVE-2026-42018](https://nvd.nist.gov/vuln/detail/CVE-2026-42018) — NIST NVD - [JFrog セキュリティ情報](https://docs.jfrog.com/releases/docs/jfrog-security-advisories) — JFrog - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42016) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-42016,CVE-2026-42018) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/jfrog-artifactory-token-validation-flaws-kev-cve-2026-42016-cve-2026-42018