Podatności Jenkins

Wiele podatności typu open redirect w Jenkins przed wersją 2.3 oraz LTS przed 1.651.2 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe, co może prowadzić do ataków phishingowych.

Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.

Jenkins w wersjach przed 1.640 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed CSRF za pomocą nieokreślonych wektorów.

W podatności CVE-2015-7537 występuje luka CSRF w Jenkins przed wersją 1.640 oraz LTS przed wersją 1.625.2, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów poprzez nieokreślone wektory związane z metodą HTTP GET.

Jenkins w wersjach przed 1.638 oraz LTS przed 1.625.2 umożliwia atakującym obejście zamierzonych ograniczeń dostępu z slave do mastera poprzez wykorzystanie JNLP slave.

Jenkins w wersjach przed 1.551 oraz LTS przed 1.532.2 umożliwia zdalnym atakującym przeprowadzanie ataków clickjacking za pomocą nieokreślonych wektorów.

Jenkins w wersjach przed 1.583 oraz LTS przed 1.565.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet wysłany do kanału CLI.

W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.

W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.

W Jenkinsie 1.498 wprowadzono monitor re-key admin, który re-encryptował wszystkie sekrety w JENKINS_HOME nowym kluczem, tworząc jednocześnie katalog kopii zapasowych ze starymi sekretami i użytym kluczem. Te kopie zapasowe były dostępne dla wszystkich użytkowników i nie zostały usunięte po ich utworzeniu.

Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 nie stosuje algorytmu o stałym czasie do weryfikacji tokenów CSRF, co ułatwia zdalnym atakującym obejście mechanizmu ochrony CSRF za pomocą ataku brute-force.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie ogranicza typów obiektów, które mogą być tworzone w ramach konfiguracji strategii nazewnictwa projektów. Atakujący z uprawnieniem Overall/Manage może tworzyć dowolne typy związane z konfiguracją, w tym te przeznaczone tylko dla administratorów.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie obsługuje spójnie wielkości liter w nazwach użytkowników i grup. Atakujący, którzy mogą tworzyć nowych użytkowników lub grupy o nazwach różniących się tylko wielkością liter, mogą podszywać się pod innych użytkowników lub otrzymać ich uprawnienia w niektórych sytuacjach.

Jenkins 2.575 i wcześniejsze oraz LTS 2.568.1 i wcześniejsze nieprawidłowo identyfikują ścieżki plików podczas próby path traversal w nazwach parametrów plików, co pozwala atakującym z uprawnieniami Item/Configure i Item/Build na zapisywanie plików w dowolnych lokalizacjach w systemie plików kontrolera.

Jenkins 2.575 i wcześniejsze oraz LTS 2.568.1 i wcześniejsze niebezpiecznie obsługują dowiązania symboliczne z efektywnie pustymi nazwami podczas rozpakowywania archiwów `.tar` i `.tar.gz`, co pozwala atakującym kontrolującym procesy agenta na dostarczenie spreparowanych archiwów do kontrolera w celu zapisu plików w dowolnych lokalizacjach w systemie plików, ograniczonych jedynie uprawnieniami dostępu do systemu plików użytkownika uruchamiającego Jenkins.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nie szyfruje sekretów z przesyłanych formularzy POST config.xml przed ich zapisaniem w plikach konfiguracyjnych zadań. Sekrety są przechowywane w plikach config.xml w formie niezaszyfrowanej, co umożliwia ich przeglądanie użytkownikom z uprawnieniami Item/Extended Read lub dostępem do systemu plików kontrolera Jenkins.

Podatność XSS w Jenkinsie pozwala atakującym z uprawnieniami Agent/Configure na wstrzyknięcie złośliwego skryptu przez nieuciekający opis przyczyny offline agenta ustawiany przez API POST config.xml. Dotyczy to wersji Jenkins 2.483 do 2.567 oraz LTS 2.492.1 do 2.555.2.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nie weryfikuje bezpieczeństwa parametru 'from' w ramach bezpieczeństwa 'Delegate to servlet container', co umożliwia atakującym przeprowadzanie ataków phishingowych poprzez przekierowywanie użytkowników na domeny kontrolowane przez atakujących.

Brak kontroli uprawnień w Jenkins 2.567 i wcześniejszych wersjach, LTS 2.555.2 i wcześniejszych, umożliwia atakującym z uprawnieniami Overall/Read określenie skonfigurowanej strefy czasowej innych użytkowników oraz enumerację nazw widoków innych użytkowników w sekcji 'Moje widoki'.

Brak weryfikacji uprawnień w Jenkins 2.567 i wcześniejszych, LTS 2.555.2 i wcześniejszych, umożliwia atakującym z uprawnieniami Item/Cancel, ale bez uprawnień Item/Read, anulowanie elementów w kolejce, do których nie mają dostępu.

Podatność w Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych polega na nieprawidłowym określaniu, że adres URL przekierowania po zalogowaniu jest legalnie skierowany do Jenkinsa, gdy zawiera znaki tabulacji lub nowej linii między `//`. Umożliwia to atakującym przeprowadzanie ataków phishingowych.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nieprawidłowo określa, że adres URL przekierowania po zalogowaniu prawidłowo wskazuje na Jenkins, gdy zawiera segmenty ścieżki względnej (`./` lub `../`). To umożliwia atakującym przeprowadzanie ataków phishingowych.

Podatność w Jenkins 2.554 i wcześniejszych oraz LTS 2.541.2 i wcześniejszych pozwala na niebezpieczne obsługiwanie dowiązań symbolicznych podczas rozpakowywania archiwów .tar i .tar.gz. Może to umożliwić zapis plików w dowolnych lokalizacjach systemu plików, ograniczony jedynie uprawnieniami użytkownika Jenkins.

Jenkins w wersjach 2.415 i wcześniejszych oraz LTS 2.401.2 i wcześniejszych nie sanitizuje ani nie koduje poprawnie adresów URL w logach budowy, co prowadzi do podatności na przechowywane ataki XSS, które mogą być wykorzystywane przez atakujących mających kontrolę nad zawartością logów budowy.

W Jenkinsie w wersjach 2.399 i wcześniejszych oraz LTS 2.387.3 i wcześniejszych, żądania POST są wysyłane w celu załadowania listy akcji kontekstowych. Jeśli część adresu URL zawiera niewystarczająco zabezpieczone wartości dostarczone przez użytkownika, ofiara może zostać oszukana i wysłać żądanie POST do nieoczekiwanego punktu końcowego poprzez otwarcie menu kontekstowego.