JFrog Artifactory にパストラバーサルの脆弱性（CVE-2026-66384）― ソフトウェアの「保管庫」の外へ書き込まれうる

1パストラバーサルという欠陥の型

パストラバーサルは、ファイルの保存先や読み込み先を決める処理で、与えられた経路の検証が不十分なために、想定した領域の外へ出られてしまう欠陥です。典型的には「..」のような上位ディレクトリを指す記法が効いてしまう形で現れます。読み取りの場合は本来見えないファイルが見え、書き込みの場合は本来書けない場所にファイルが置かれます。今回のカタログの記載は後者、すなわち書き込みです。

2保管庫が汚染されると何が起きるか

Artifactory のような成果物リポジトリは、社内のビルドが参照する部品——ライブラリ、コンテナイメージ、パッケージ——を集約して配る場所です。ここに置かれたものは、その後の多数のビルドへ自動的に取り込まれます。したがって保管庫への書き込みが成立すると、影響は保管庫の中にとどまらず、そこから配られる先へ広がる可能性があります。

ソフトウェア供給網の議論で成果物リポジトリが重視されるのは、この一対多の構造によります。

3「認証済みの利用者」という条件

カタログの説明では、攻撃の主体が認証済みの利用者とされています。認証を突破する必要がある分だけ、認証不要の脆弱性より前提は重いといえます。一方で、成果物リポジトリは開発者・ビルドサーバ・自動化ツールなど多数の主体が日常的に認証して使う場所であり、認証済みの資格情報は組織内に広く存在します。前提の重さは、その資格情報がどれだけ管理されているかによって変わります。

4保管庫の中で終わらない

Artifactory のような成果物リポジトリは、社内のビルドが参照する部品を集約して配る場所です。書き込みが成立したときの影響も、その一対多の構造に従います。

カタログの説明では、攻撃の主体が認証済みの利用者とされています。認証を突破する必要がある分だけ前提は重いといえますが、成果物リポジトリは開発者・ビルドサーバ・自動化ツールなど多数の主体が日常的に認証して使う場所であり、認証済みの資格情報は組織内に広く存在します。前提の重さは、その資格情報がどれだけ管理されているかによって変わります。