Vulnerabilitate critică în cadrul Jenkins

Au fost publicate modalități de exploatare de tip proof-of-concept (PoC) pentru o vulnerabilitate critică în Jenkins, care permite atacatorilor neautentificați să citească fișiere.

Jenkins este un server de automatizare open-source utilizat pentru dezvoltarea de software. Suportă peste o mie de plugin-uri de integrare și este folosit atât de organizații mici dar și mari.

Vulnerabilitatea, evaluată ca fiind critică, este identificată ca CVE-2024-23897, permitând atacatorilor neautentificați cu permisiuni ‘overall/read’ să citească date din fișiere arbitrare pe serverul Jenkins.

Vulnerabilitatea se datorează comportamentului implicit al parserului de comenzi args4j din Jenkins, care extinde automat conținutul fișierelor în argumente de comandă atunci când un argument începe cu „@”, permitând citirea neautorizată a fișierelor.

Exploatarea acestei vulnerabilități ar putea duce la escaladarea privilegiilor de administrator și la execuția arbitrară de cod la distanță. Cu toate acestea, acest pas depinde de anumite condiții care trebuie îndeplinite, iar acestea sunt diferite pentru fiecare variantă de atac.

O altă vulnerabilitate, identificată ca CVE-2024-23898, este de tip cross-site WebSocket hijacking, unde atacatorii ar putea executa comenzi CLI arbitrare.

Riscul generat de această vulnerabilitate ar trebui să fie redus de politicile de securitate existente în browserele web, dar persistă din cauza lipsei aplicării universale a acestor politici.

În data de 24 ianuarie 2024, Jenkins a lansat soluții de remediere pentru cele două vulnerabilități în versiunile 2.442 și LTS 2.426.3, și a publicat un avertisment care prezintă diverse scenarii de atac și modalități de exploatare, precum și descrieri ale remedierilor și soluțiilor alternative posibile pentru cei care nu pot aplica actualizările de securitate.

Sursa: https://www.bleepingcomputer.com/news/security/exploits-released-for-critical-jenkins-rce-flaw-patch-now/