JFrog Artifactory 인증 우회 및 내부 익명 토큰 노출 취약점 보안 권고 (CVE-2026-42018)

• 최신 버전 업그레이드: JFrog 다운로드 센터를 통해 사용 중인 메이저 버전(7.x 등)의 최신 유지보수 릴리즈로 즉시 업데이트하십시오.

• 익명 접근 설정 재검증: 관리자 UI(Administration -> Security -> General)에서 'Allow Anonymous Access' 체크박스가 해제되어 있는지 확인하십시오.

• 임시 완화 조치 (WAF/Reverse Proxy): 패치 적용 전까지 리버스 프록시(Nginx, Apache) 또는 WAF에서 인증되지 않은 사용자의 특정 인증 관련 엔드포인트 접근을 제한하십시오.

# Nginx 예시: 인증되지 않은 토큰 요청 차단
location /artifactory/api/auth/token {
    if ($http_authorization = "") {
        return 403;
    }
}

• 로그 분석: artifactory-access.log에서 익명 사용자(anonymous)에 의해 생성된 비정상적인 토큰 발급 이력을 전수 조사하십시오.

CVE-2026-42018 취약점은 JFrog Artifactory의 인증 메커니즘(CWE-287) 결함으로 인해 발생합니다. 보안 설정을 통해 '익명 접근(Anonymous Access)'을 명시적으로 차단했음에도 불구하고, 특정 API 호출 시 시스템이 내부적으로 사용하는 익명 사용자용 JWT 또는 세션 토큰을 외부로 반환하는 로직 오류가 존재합니다. 이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되었으며, EPSS 점수가 0.94에 달해 실제 공격 현장에서 매우 활발하게 악용되고 있습니다. 공격자는 별도의 계정 없이도 유효한 토큰을 획득하여 기업의 핵심 자산인 빌드 아티팩트와 바이너리를 탈취하거나 변조할 위험이 있습니다.