Aktywnie wykorzystywana w atakach
Jenkins Command Line Interface (CLI) Path Traversal Vulnerability
Jenkins - Jenkins Command Line Interface (CLI) · Figuruje w katalogu CISA KEV od 2024-08-19. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2024-23897
KrytyczneCVSS 9.8KEVStreszczenie
Jenkins w wersjach 2.441 i wcześniejszych oraz LTS 2.426.2 i wcześniejszych nie wyłącza funkcji parsera CLI, która zastępuje znak '@' poprzedzający ścieżkę pliku zawartością tego pliku. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików w systemie plików kontrolera Jenkins.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać poufne pliki, takie jak klucze, hasła czy konfiguracje, co może prowadzić do dalszej kompromitacji.
Rekomendacja
Należy zaktualizować Jenkins do najnowszej wersji, która naprawia tę podatność.
Inne podatności w Jenkins
Zobacz wszystkie- CVE-2016-3726Wysokie
Wiele podatności typu open redirect w Jenkins przed wersją 2.3 oraz LTS przed 1.651.2 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe, co może prowadzić do ataków phishingowych.
- CVE-2016-0792Wysokie
Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.
- CVE-2015-7538Wysokie
Jenkins w wersjach przed 1.640 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed CSRF za pomocą nieokreślonych wektorów.
- CVE-2015-7537Wysokie
W podatności CVE-2015-7537 występuje luka CSRF w Jenkins przed wersją 1.640 oraz LTS przed wersją 1.625.2, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów poprzez nieokreślone wektory związane z metodą HTTP GET.
- CVE-2015-5325Wysokie
Jenkins w wersjach przed 1.638 oraz LTS przed 1.625.2 umożliwia atakującym obejście zamierzonych ograniczeń dostępu z slave do mastera poprzez wykorzystanie JNLP slave.
- CVE-2014-2063Wysokie
Jenkins w wersjach przed 1.551 oraz LTS przed 1.532.2 umożliwia zdalnym atakującym przeprowadzanie ataków clickjacking za pomocą nieokreślonych wektorów.
- CVE-2014-3666Wysokie
Jenkins w wersjach przed 1.583 oraz LTS przed 1.565.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet wysłany do kanału CLI.
- CVE-2026-70426Krytyczne
W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.
- CVE-2026-53435Wysokie
W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.
- CVE-2017-1000362Krytyczne
W Jenkinsie 1.498 wprowadzono monitor re-key admin, który re-encryptował wszystkie sekrety w JENKINS_HOME nowym kluczem, tworząc jednocześnie katalog kopii zapasowych ze starymi sekretami i użytym kluczem. Te kopie zapasowe były dostępne dla wszystkich użytkowników i nie zostały usunięte po ich utworzeniu.
Oryginalny opis (angielski, źródło NVD)
Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.