OWN NEWS GATHER
← 戻る
cve

JFrog Artifactoryにディレクトリ制限不備の脆弱性、CISAが悪用確認済みカタログに追加

要点

  • リポジトリ管理ツール「JFrog Artifactory」において、特定の条件下でDockerキャッシュパス外へデータ書き込みが可能になる脆弱性（CVE-2026-66384）が公開された。

  • 脆弱性評価基準CVSS v3.1における基本スコアは5.3で、深刻度は「MEDIUM（中程度）」と評価されている。

  • 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月27日、本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加した。

  • CISAは関係組織に対し、ベンダー指示に基づく緩和策の適用を2026年9月10日までに実施するよう求めている。

  • 関連リファレンスには、JFrog公式のアドバイザリに加えてOpenAIによるHugging Face関連インシデントの技術報告書が含まれている。

  • ソフトウェア管理プラットフォーム「JFrog Artifactory」において、制限されたディレクトリへのパス名制限に不備が存在する脆弱性「CVE-2026-66384」の詳細が、米国立標準技術研究所（NIST）の脆弱性データベース（NVD）で公開された。CVE採番機関であるJFrogによる深刻度評価は「MEDIUM」（CVSS v3.1基本スコア5.3）とされている。これを受け、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間2026年8月27日、本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加し、期日までの緩和策適用を求めている。

脆弱性の概要とデータ書き込みのリスク

今回公開されたCVE-2026-66384は、JFrog Artifactoryにおける「制限されたディレクトリへのパス名の不適切な制限（Improper Limitation of a Pathname to a Restricted Directory）」に分類される脆弱性である。

NVDに掲載された説明によると、特定のリモートリポジトリ条件が整った環境下において、認証を受けたユーザーが本来想定されているDockerキャッシュパスの外部にデータを書き込める状態が発生するという。

パッケージやコンテナイメージの管理・配信を行うArtifactoryにおいて、Dockerキャッシュのパス制限が回避されることで、本来書き込みが許可されていない領域への不正なデータ書き込みが行われるリスクが存在すると説明されている。

CVSSスコアと評価メトリクス

本脆弱性の深刻度について、CVE採番機関（CNA）であるJFrogは、共通脆弱性評価システムCVSS（IT製品のセキュリティ脆弱性の深刻度を評価する国際基準）バージョン3.1に基づく評価を実施している。算出された基本スコアは5.3であり、危険度レベルは「MEDIUM」と判定された。

公表されたCVSS v3.1のベクトル（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N）による詳細な評価内容は以下の通りである。

  • 攻撃元区分（AV:N）: ネットワークを介してリモートからの攻撃が可能である。
  • 攻撃条件の複雑さ（AC:H）: 攻撃成立には特定のリモートリポジトリ条件が必要であり、攻撃の難易度は高い。
  • 必要な特権レベル（PR:L）: 実行には認証済みユーザーとしての低特権が必要とされる。
  • ユーザー関与（UI:N）: 攻撃実行にあたり、他ユーザーの操作や介入は不要である。
  • スコープ（S:U）: 影響範囲の変更は発生しない。
  • 機密性への影響（C:N）: 情報の漏洩など、機密性に対する直接的な影響はない。
  • 完全性への影響（I:H）: 意図しないパスへのデータ書き込みが可能なため、データの完全性に対する影響は高い。
  • 可用性への影響（A:N）: システム停止など、可用性に対する直接的な影響はない。

なお、NIST（NVD）による独自のスコア算定は現時点で「N/A（未提供）」となっており、NVDのエンリッチメント（データ補強）処理後にレコードが更新された状態であることが示されている。

CISAがKEVカタログに追加、9月10日までの対処を要求

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月27日、本脆弱性を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」へ正式に追加した。

KEVカタログに登録された内容は以下の通りである。

  • 脆弱性名: JFrog Artifactory Improper Limitation of a Pathname to a Restricted Directory Vulnerability
  • カタログ追加日: 2026年8月27日
  • 対策完了期日（Due Date）: 2026年9月10日
  • 要求される対応: ベンダーが提示する指示に従って緩和策を適用すること、およびリスクに基づくセキュリティ更新ガイダンス（BOD 26-04）に準拠すること。

CISAのKEVカタログは、サイバー攻撃において現実に悪用が確認された脆弱性を集約したリストであり、米国の連邦機関などを対象に定められた期日までの対策完了を義務付けるものとなっている。

公開されたアドバイザリと関連文書

NVDの参照情報セクションには、ベンダーであるJFrogの公式情報のほか、CISA-ADP（CISAが認定したデータ提供者）から提供された関連資料へのリンクが掲載されている。

JFrogからは、以下の公式情報が参照先として案内されている。

  • Artifactory セルフマネージド版リリースノート: セルフマネージド環境向けの修正やリリース情報
  • JFrog セキュリティアドバイザリ: セキュリティに関する公式アドバイザリ情報

また、CISA-ADPが提供する情報源として、以下の技術レポートおよび報告記事が関連リファレンスに含まれている。

  • OpenAIによる技術レポート: 『OpenAI-Hugging-Face Incident-Technical-Report.pdf』
  • OpenAIの公式報告記事: 『Hugging Face Incident and the Road Ahead』
  • CISAのKEVカタログ詳細ページ: CVE-2026-66384に関するカタログ掲載情報

これらの情報源を通じて、ベンダーによる緩和手順や、本脆弱性に関連するインシデントの技術情報が提供されている。

元URL