Podatności Jenkins

Podatność w Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych polega na nieprawidłowym określaniu, że adres URL przekierowania po zalogowaniu jest legalnie skierowany do Jenkinsa, gdy zawiera znaki tabulacji lub nowej linii między `//`. Umożliwia to atakującym przeprowadzanie ataków phishingowych.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nieprawidłowo określa, że adres URL przekierowania po zalogowaniu prawidłowo wskazuje na Jenkins, gdy zawiera segmenty ścieżki względnej (`./` lub `../`). To umożliwia atakującym przeprowadzanie ataków phishingowych.

Podatność w Jenkins 2.554 i wcześniejszych oraz LTS 2.541.2 i wcześniejszych pozwala na niebezpieczne obsługiwanie dowiązań symbolicznych podczas rozpakowywania archiwów .tar i .tar.gz. Może to umożliwić zapis plików w dowolnych lokalizacjach systemu plików, ograniczony jedynie uprawnieniami użytkownika Jenkins.

Luka typu cross-site request forgery (CSRF) w Jenkins 2.540 i wcześniejszych oraz LTS 2.528.2 i wcześniejszych pozwala atakującym nakłonić użytkowników do zalogowania się na konto atakującego.

Jenkins w wersjach 2.540 i wcześniejszych oraz LTS 2.528.2 i wcześniejszych nie maskuje tokenów autoryzacji kompilacji wyświetlanych w formularzu konfiguracji zadania. Zwiększa to ryzyko, że atakujący mogą je zaobserwować i przechwycić.

Jenkins w wersjach 2.540 i wcześniejszych oraz LTS 2.528.2 i wcześniejszych przechowuje tokeny autoryzacji kompilacji w postaci niezaszyfrowanej w plikach job config.xml na kontrolerze Jenkins. Mogą je zobaczyć użytkownicy z uprawnieniem Item/Extended Read lub dostępem do systemu plików kontrolera.

Jenkins w wersjach 2.540 i starszych oraz LTS 2.528.2 i starszych nie sprawdza uprawnień w widokach. Atakujący posiadający uprawnienie View/Read może odczytać zaszyfrowane wartości haseł wyświetlane w widokach.

Jenkins w wersji 2.540 i wcześniejszych oraz LTS 2.528.2 i wcześniejszych nieprawidłowo zamyka połączenia CLI oparte na HTTP, gdy strumień połączenia ulegnie uszkodzeniu, co pozwala nieuwierzytelnionym atakującym wywołać odmowę usługi.

Jenkins w wersjach 2.415 i wcześniejszych oraz LTS 2.401.2 i wcześniejszych nie sanitizuje ani nie koduje poprawnie adresów URL w logach budowy, co prowadzi do podatności na przechowywane ataki XSS, które mogą być wykorzystywane przez atakujących mających kontrolę nad zawartością logów budowy.

W Jenkinsie w wersjach 2.399 i wcześniejszych oraz LTS 2.387.3 i wcześniejszych, żądania POST są wysyłane w celu załadowania listy akcji kontekstowych. Jeśli część adresu URL zawiera niewystarczająco zabezpieczone wartości dostarczone przez użytkownika, ofiara może zostać oszukana i wysłać żądanie POST do nieoczekiwanego punktu końcowego poprzez otwarcie menu kontekstowego.