CVE-2026-66384: ثغرة أمنية نشطة الاستغلال في JFrog Artifactory

CVE-2026-66384: ثغرة أمنية نشطة الاستغلال في JFrog Artifactory

باختصار

CVE-2026-66384 هي ثغرة من نوع path traversal في JFrog Artifactory تسمح لمستخدم مصادَق عليه بالفعل بكتابة بيانات خارج مسار ذاكرة التخزين المؤقت (cache) المخصص لـ Docker، وذلك في ظل شروط محددة تتعلق بالمستودع البعيد (remote repository) [1]. تؤثر على المؤسسات التي تستخدم Artifactory كمستودع للأصول البرمجية (artifacts)، وبشكل خاص مع مستودعات Docker البعيدة المهيأة [1]. وهي مدرجة في كتالوج CISA KEV للثغرات ذات الاستغلال النشط المؤكد [2]، ما يجعلها أولوية في الإدارة رغم أن درجة CVSS الرسمية لها "متوسطة" [1]. ما يجب فعله اليوم: التحقق مما إذا كانت مؤسستك تستخدم JFrog Artifactory، مراجعة صلاحيات المستخدمين المصادَق عليهم الذين لديهم وصول إلى مستودعات Docker، وتطبيق التحديث الأمني بمجرد أن يؤكده المورّد.

ما هي ولماذا هي مهمة

وفقًا للوصف الرسمي المسجل في NVD، يمكن لمستخدم مصادَق عليه كتابة بيانات خارج دليل ذاكرة التخزين المؤقت المخصص لـ Docker، في ظل شروط محددة تتعلق بالمستودع البعيد [1]. لذا فالأمر لا يتعلق بوصول مجهول من خارج النظام: فمن يستغل هذا الخلل يمتلك بالفعل حسابًا صالحًا داخل المنصة، وتسمح له المشكلة بتجاوز حدود التخزين التي يفترض أن يلتزم بها.

يمنح NVD هذه الثغرة درجة CVSS تبلغ 5.3 ويصنفها بدرجة خطورة "medium" [1]. ومع ذلك، فهي مدرجة في كتالوج الثغرات المستغَلة المعروفة (KEV) الذي تديره CISA [2]، ما يؤكد أنه تم بالفعل رصد استغلال نشط لها في الواقع، بصرف النظر عن الدرجة الأساسية. وهذا المزيج تحديدًا -أثر تقني مصنَّف كمعتدل نظريًا، لكن مع استغلال مؤكد بالفعل- هو ما يجعل رادار الاستخبارات الداخلي لدينا OCIRIA، الذي يحلل هذه المعلومات العامة ذاتها الصادرة عن NVD وCISA KEV، يصنفها كأولوية إدارة حرجة ضمن فئة "path traversal / الوصول إلى الملفات". هذا التصنيف هو معيار داخلي لترتيب الأولويات خاص بـ OCIRIA، وليس مصدرًا إضافيًا مستقلًا أو درجة رسمية مختلفة عن تلك الصادرة عن NVD.

يكتسب هذا النوع من الثغرات أهمية خاصة لأن Artifactory غالبًا ما يعمل كمستودع مركزي للأصول البرمجية (صور Docker، الحزم، الملفات الثنائية) ضمن سلسلة التطوير في الشركة. فإذا تمكن مستخدم مصادَق عليه من الكتابة في مواقع غير مخصصة لذلك، تتعرض سلامة الأصول البرمجية المتداولة عبر ذلك المستودع للخطر.

من المتأثر

تؤثر الثغرة على المؤسسات التي تستخدم JFrog Artifactory، وهو المورّد الوحيد المحدد في البيانات المتحقق منها [1]. يشير الوصف الرسمي إلى أن الاستغلال يعتمد على وجود مستودعات بعيدة مهيأة وعلى امتلاك المهاجم لحساب مصادَق عليه في المنصة [1]. لا تحدد البيانات المتحقق منها إصدارات معينة متأثرة ولا حجم أو قطاع المؤسسات المتضررة، لذا ينبغي التعامل بحذر مع أي تقييم إضافي حول ملف الضحية المحتملة إلى حين التأكد من الإصدار الدقيق المثبَّت في بيئتك.

كيف تعرف ما إذا كنت عرضة للخطر

• تحقق مما إذا كانت مؤسستك تستخدم JFrog Artifactory، وتحديدًا ما إذا كانت لديها مستودعات بعيدة من نوع Docker مهيأة، فهذا هو الشرط الذي يذكره الوصف الرسمي للثغرة [1].
• راجع أي المستخدمين المصادَق عليهم يملكون صلاحيات كتابة على تلك المستودعات، إذ تتطلب الثغرة حسابًا صالحًا وليس وصولاً مجهولاً [1].
• تحقق مما إذا كانت نسخة Artifactory قابلة للوصول من خارج شبكة المؤسسة: فكلما زاد تعرضها للخارج، زاد عدد الحسابات المحتملة التي قد تحاول الاستغلال الموصوف.
• راجع سجلات النشاط بحثًا عن عمليات كتابة في مسارات غير معتادة خارج مجلدات ذاكرة التخزين المؤقت المعتادة.

كيف تحمي نفسك

• طبّق التحديث الأمني الخاص بـ JFrog Artifactory بمجرد أن يؤكده المورّد للإصدار المثبَّت لديك.
• دقّق وقيّد صلاحيات المستخدمين المصادَق عليهم على مستودعات Docker، مع تحديد من يمكنه الكتابة فيها.
• بما أن الثغرة مدرجة بالفعل كمستغَلة بشكل نشط [2]، تعامل معها بنفس الإلحاحية كما لو كانت تحمل درجة CVSS أعلى، بدلاً من الاكتفاء بالاسترشاد بتصنيف "medium" الصادر عن NVD [1].
• حافظ على مراجعة دورية للوحات التحكم والخدمات الإدارية في مؤسستك التي تبقى متاحة من الإنترنت، كجزء من النظافة الأمنية الأساسية.

أسئلة شائعة

هل هي ثغرة حرجة؟

يمنحها NVD درجة CVSS تبلغ 5.3 ويصنفها بدرجة خطورة "medium" [1]. ومع ذلك، ولأنها مدرجة في كتالوج CISA KEV للثغرات المستغَلة بشكل نشط [2]، فإن الخطر العملي أكبر مما توحي به تلك الدرجة، ولهذا نتابعها بأولوية عالية.

ما هو المنتج المتأثر؟

JFrog Artifactory، بحسب المورّد المحدد في البيانات المتحقق منها [1]. لا تؤكد المصادر التي تم الرجوع إليها إصدارات محددة متأثرة.

هل يحتاج المهاجم إلى بيانات اعتماد مسبقة؟

نعم. يحدد الوصف الرسمي أن الأمر يجب أن يتعلق بمستخدم مصادَق عليه [1].

هل هناك أدلة على استغلال فعلي؟

نعم، الثغرة مدرجة في كتالوج CISA KEV، الذي لا يضم سوى الثغرات التي توجد أدلة مؤكدة على استغلالها بشكل نشط [2].

المصادر

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-66384
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json