Podatności Jenkins

Wiele podatności typu open redirect w Jenkins przed wersją 2.3 oraz LTS przed 1.651.2 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe, co może prowadzić do ataków phishingowych.

Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.

Jenkins w wersjach przed 1.640 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed CSRF za pomocą nieokreślonych wektorów.

W podatności CVE-2015-7537 występuje luka CSRF w Jenkins przed wersją 1.640 oraz LTS przed wersją 1.625.2, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów poprzez nieokreślone wektory związane z metodą HTTP GET.

Jenkins w wersjach przed 1.638 oraz LTS przed 1.625.2 umożliwia atakującym obejście zamierzonych ograniczeń dostępu z slave do mastera poprzez wykorzystanie JNLP slave.

Jenkins w wersjach przed 1.551 oraz LTS przed 1.532.2 umożliwia zdalnym atakującym przeprowadzanie ataków clickjacking za pomocą nieokreślonych wektorów.

Jenkins w wersjach przed 1.583 oraz LTS przed 1.565.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet wysłany do kanału CLI.

W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.

W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.

W Jenkinsie 1.498 wprowadzono monitor re-key admin, który re-encryptował wszystkie sekrety w JENKINS_HOME nowym kluczem, tworząc jednocześnie katalog kopii zapasowych ze starymi sekretami i użytym kluczem. Te kopie zapasowe były dostępne dla wszystkich użytkowników i nie zostały usunięte po ich utworzeniu.

Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 nie stosuje algorytmu o stałym czasie do weryfikacji tokenów CSRF, co ułatwia zdalnym atakującym obejście mechanizmu ochrony CSRF za pomocą ataku brute-force.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, polecenie CLI build nie sprawdza uprawnienia Item/Cancel przy użyciu flagi -s do anulowania budynku uruchomionego w celu oczekiwania na zakończenie, co pozwala atakującym z uprawnieniem Item/Build na anulowanie budynków uruchomionych przez innych użytkowników.

Brak sprawdzenia uprawnień w Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych pozwala atakującym z uprawnieniem Item/Read na co najmniej jednym zadaniu na odczytanie nazw i wartości parametrów budynków zadań, do których nie mają dostępu.

Jenkins 2.579 i wcześniejsze oraz LTS 2.568.2 i wcześniejsze nie escapują kluczy map podczas serializacji obiektów do JSON i Pythona przez REST API. Pozwala to atakującym kontrolującym nazwy właściwości map na wstrzyknięcie dowolnych pól do odpowiedzi API.

Jenkins 2.421 do 2.579 (włącznie) oraz LTS 2.426.1 do 2.568.2 (włącznie) nie wykonuje poprawnie kontroli uprawnień na stronie konfiguracji wyglądu (Appearance). Pozwala to atakującym z uprawnieniem Overall/Manage na modyfikowanie opcji konfiguracji wyglądu, do których nie powinni mieć dostępu.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Jenkins nie rotuje sesji, gdy użytkownik jest uwierzytelniany przez ciasteczko "remember me". Pozwala to atakującym, którzy mogą serwować treści na tej samej stronie co Jenkins, ustawić znane ciasteczko sesji w przeglądarce ofiary, co po uwierzytelnieniu ofiary przez ciasteczko "remember me" daje atakującemu dostęp do Jenkinsa jako ten użytkownik.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, punkty końcowe REST API i CLI do aktualizacji konfiguracji agenta nie zapobiegają nadpisaniu innego agenta przez przesłaną konfigurację, jeśli w dokumencie XML podano nazwę tego agenta. Pozwala to atakującym z uprawnieniem Agent/Configure na jednym agencie przejąć innego agenta, uzyskując kontrolę nad jego konfiguracją oraz dostęp do jego sekretu agenta przychodzącego i zmiennych środowiskowych.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, pola przejściowe (transient) nie mogą być wykluczone z deserializacji. Pozwala to atakującym, którzy mogą przesyłać aktualizacje konfiguracji, na określenie wartości pól przejściowych, które będą deserializowane, a wpływ zależy od sposobu użycia tych pól.

W Staplerze w wersjach od 1839.ved17667b_a_eb_5 do 2107.v8dfcb_e8ed317 (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.447 do 2.579 oraz LTS 2.452.1 do 2.568.2, punkt końcowy HTTP serwujący dynamicznie generowane zasoby JavaScript osadza token CSRF (crumb) użytkownika jako literał ciągu znaków. Pozwala to atakującym kontrolującym stronę na tym samym hoście co Jenkins na uzyskanie ważnego crumb dla sesji ofiary i wykonywanie działań w jej imieniu.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, przeglądarka logów systemowych nie escapuje metadanych rekordów logów (źródło, poziom i znacznik czasu), co prowadzi do podatności na przechowywany XSS. Atakujący kontrolujący procesy agentów mogą wykorzystać tę podatność.

W Staplerze 2107.v8dfcb_e8ed317 i wcześniejszych (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Stapler nie ogranicza typów obiektów, które mogą być tworzone przez wiązanie danych z formularzy, do typów zgodnych z oczekiwanym typem pola. Pozwala to atakującym z uprawnieniem Overall/Read na tworzenie typów związanych z konfiguracją, dla których to pole nie było przeznaczone.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty użytkowników mogą pojawiać się jako zagnieżdżone wartości pól w innych deserializowanych obiektach XML. Pozwala to atakującym z uprawnieniem Overall/Read na tworzenie obiektów użytkowników poprzez przesłanie spreparowanego XML.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty typów oznaczonych jako przechowujące konfigurację w niezależnych plikach konfiguracyjnych (takich jak globalna konfiguracja i zadania) mogą pojawiać się jako zagnieżdżone wartości pól w dokumentach `config.xml` przesłanych przez użytkownika, a następnie obsługiwać żądania HTTP przez Stapler, co prowadzi do zdalnego wykonania kodu.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie ogranicza typów obiektów, które mogą być tworzone w ramach konfiguracji strategii nazewnictwa projektów. Atakujący z uprawnieniem Overall/Manage może tworzyć dowolne typy związane z konfiguracją, w tym te przeznaczone tylko dla administratorów.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie obsługuje spójnie wielkości liter w nazwach użytkowników i grup. Atakujący, którzy mogą tworzyć nowych użytkowników lub grupy o nazwach różniących się tylko wielkością liter, mogą podszywać się pod innych użytkowników lub otrzymać ich uprawnienia w niektórych sytuacjach.

Jenkins 2.575 i wcześniejsze oraz LTS 2.568.1 i wcześniejsze nieprawidłowo identyfikują ścieżki plików podczas próby path traversal w nazwach parametrów plików, co pozwala atakującym z uprawnieniami Item/Configure i Item/Build na zapisywanie plików w dowolnych lokalizacjach w systemie plików kontrolera.

Jenkins 2.575 i wcześniejsze oraz LTS 2.568.1 i wcześniejsze niebezpiecznie obsługują dowiązania symboliczne z efektywnie pustymi nazwami podczas rozpakowywania archiwów `.tar` i `.tar.gz`, co pozwala atakującym kontrolującym procesy agenta na dostarczenie spreparowanych archiwów do kontrolera w celu zapisu plików w dowolnych lokalizacjach w systemie plików, ograniczonych jedynie uprawnieniami dostępu do systemu plików użytkownika uruchamiającego Jenkins.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nie szyfruje sekretów z przesyłanych formularzy POST config.xml przed ich zapisaniem w plikach konfiguracyjnych zadań. Sekrety są przechowywane w plikach config.xml w formie niezaszyfrowanej, co umożliwia ich przeglądanie użytkownikom z uprawnieniami Item/Extended Read lub dostępem do systemu plików kontrolera Jenkins.

Podatność XSS w Jenkinsie pozwala atakującym z uprawnieniami Agent/Configure na wstrzyknięcie złośliwego skryptu przez nieuciekający opis przyczyny offline agenta ustawiany przez API POST config.xml. Dotyczy to wersji Jenkins 2.483 do 2.567 oraz LTS 2.492.1 do 2.555.2.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nie weryfikuje bezpieczeństwa parametru 'from' w ramach bezpieczeństwa 'Delegate to servlet container', co umożliwia atakującym przeprowadzanie ataków phishingowych poprzez przekierowywanie użytkowników na domeny kontrolowane przez atakujących.

Brak kontroli uprawnień w Jenkins 2.567 i wcześniejszych wersjach, LTS 2.555.2 i wcześniejszych, umożliwia atakującym z uprawnieniami Overall/Read określenie skonfigurowanej strefy czasowej innych użytkowników oraz enumerację nazw widoków innych użytkowników w sekcji 'Moje widoki'.

Brak weryfikacji uprawnień w Jenkins 2.567 i wcześniejszych, LTS 2.555.2 i wcześniejszych, umożliwia atakującym z uprawnieniami Item/Cancel, ale bez uprawnień Item/Read, anulowanie elementów w kolejce, do których nie mają dostępu.

Podatność w Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych polega na nieprawidłowym określaniu, że adres URL przekierowania po zalogowaniu jest legalnie skierowany do Jenkinsa, gdy zawiera znaki tabulacji lub nowej linii między `//`. Umożliwia to atakującym przeprowadzanie ataków phishingowych.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nieprawidłowo określa, że adres URL przekierowania po zalogowaniu prawidłowo wskazuje na Jenkins, gdy zawiera segmenty ścieżki względnej (`./` lub `../`). To umożliwia atakującym przeprowadzanie ataków phishingowych.

Podatność w Jenkins 2.554 i wcześniejszych oraz LTS 2.541.2 i wcześniejszych pozwala na niebezpieczne obsługiwanie dowiązań symbolicznych podczas rozpakowywania archiwów .tar i .tar.gz. Może to umożliwić zapis plików w dowolnych lokalizacjach systemu plików, ograniczony jedynie uprawnieniami użytkownika Jenkins.

Jenkins w wersjach 2.415 i wcześniejszych oraz LTS 2.401.2 i wcześniejszych nie sanitizuje ani nie koduje poprawnie adresów URL w logach budowy, co prowadzi do podatności na przechowywane ataki XSS, które mogą być wykorzystywane przez atakujących mających kontrolę nad zawartością logów budowy.

W Jenkinsie w wersjach 2.399 i wcześniejszych oraz LTS 2.387.3 i wcześniejszych, żądania POST są wysyłane w celu załadowania listy akcji kontekstowych. Jeśli część adresu URL zawiera niewystarczająco zabezpieczone wartości dostarczone przez użytkownika, ofiara może zostać oszukana i wysłać żądanie POST do nieoczekiwanego punktu końcowego poprzez otwarcie menu kontekstowego.