Katalog podatności CVE

Brak sprawdzenia uprawnień w wtyczce Pipeline: Build Step dla Jenkinsa w wersji 599.v4b_67ea_11b_152 i wcześniejszych powoduje, że budynki podrzędne uruchamiane przez krok `build` są anulowane nawet wtedy, gdy uwierzytelnienie budynku nie ma uprawnień Item/Cancel do zadania podrzędnego.

Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych nie egzekwuje sprawdzenia uprawnień w metodzie kontrolującej ustawienie "Force the use of the sandbox globally in the system", co pozwala atakującym na jego wyłączenie przez wiązanie danych Stapler.

Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych używa adnotacji `@DataBoundConstructor` na konstruktorze, który ładuje konfigurację zatwierdzania skryptów, co pozwala atakującym, którzy mogą przesłać określone formularze, na odczytanie tej konfiguracji.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, polecenie CLI build nie sprawdza uprawnienia Item/Cancel przy użyciu flagi -s do anulowania budynku uruchomionego w celu oczekiwania na zakończenie, co pozwala atakującym z uprawnieniem Item/Build na anulowanie budynków uruchomionych przez innych użytkowników.

Brak sprawdzenia uprawnień w Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych pozwala atakującym z uprawnieniem Item/Read na co najmniej jednym zadaniu na odczytanie nazw i wartości parametrów budynków zadań, do których nie mają dostępu.

Jenkins 2.579 i wcześniejsze oraz LTS 2.568.2 i wcześniejsze nie escapują kluczy map podczas serializacji obiektów do JSON i Pythona przez REST API. Pozwala to atakującym kontrolującym nazwy właściwości map na wstrzyknięcie dowolnych pól do odpowiedzi API.

W Stapler 2107.v8dfcb_e8ed317 i wcześniejszych, z wyjątkiem 2088.2093.vd7c3e58008a_6, zawartym w Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, wiązanie danych formularzy pozwala na ustawianie publicznych pól statycznych powiązanego obiektu konfiguracji. Atakujący, którzy mogą przesyłać formularze konfiguracyjne, mogą modyfikować publiczne pola statyczne obiektów konfiguracji, co prowadzi do globalnych zmian w instancji Jenkinsa.

Jenkins 2.421 do 2.579 (włącznie) oraz LTS 2.426.1 do 2.568.2 (włącznie) nie wykonuje poprawnie kontroli uprawnień na stronie konfiguracji wyglądu (Appearance). Pozwala to atakującym z uprawnieniem Overall/Manage na modyfikowanie opcji konfiguracji wyglądu, do których nie powinni mieć dostępu.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Jenkins nie rotuje sesji, gdy użytkownik jest uwierzytelniany przez ciasteczko "remember me". Pozwala to atakującym, którzy mogą serwować treści na tej samej stronie co Jenkins, ustawić znane ciasteczko sesji w przeglądarce ofiary, co po uwierzytelnieniu ofiary przez ciasteczko "remember me" daje atakującemu dostęp do Jenkinsa jako ten użytkownik.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, punkty końcowe REST API i CLI do aktualizacji konfiguracji agenta nie zapobiegają nadpisaniu innego agenta przez przesłaną konfigurację, jeśli w dokumencie XML podano nazwę tego agenta. Pozwala to atakującym z uprawnieniem Agent/Configure na jednym agencie przejąć innego agenta, uzyskując kontrolę nad jego konfiguracją oraz dostęp do jego sekretu agenta przychodzącego i zmiennych środowiskowych.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, pola przejściowe (transient) nie mogą być wykluczone z deserializacji. Pozwala to atakującym, którzy mogą przesyłać aktualizacje konfiguracji, na określenie wartości pól przejściowych, które będą deserializowane, a wpływ zależy od sposobu użycia tych pól.

W Staplerze w wersjach od 1839.ved17667b_a_eb_5 do 2107.v8dfcb_e8ed317 (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.447 do 2.579 oraz LTS 2.452.1 do 2.568.2, punkt końcowy HTTP serwujący dynamicznie generowane zasoby JavaScript osadza token CSRF (crumb) użytkownika jako literał ciągu znaków. Pozwala to atakującym kontrolującym stronę na tym samym hoście co Jenkins na uzyskanie ważnego crumb dla sesji ofiary i wykonywanie działań w jej imieniu.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, przeglądarka logów systemowych nie escapuje metadanych rekordów logów (źródło, poziom i znacznik czasu), co prowadzi do podatności na przechowywany XSS. Atakujący kontrolujący procesy agentów mogą wykorzystać tę podatność.

W Staplerze 2107.v8dfcb_e8ed317 i wcześniejszych (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Stapler nie ogranicza typów obiektów, które mogą być tworzone przez wiązanie danych z formularzy, do typów zgodnych z oczekiwanym typem pola. Pozwala to atakującym z uprawnieniem Overall/Read na tworzenie typów związanych z konfiguracją, dla których to pole nie było przeznaczone.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty użytkowników mogą pojawiać się jako zagnieżdżone wartości pól w innych deserializowanych obiektach XML. Pozwala to atakującym z uprawnieniem Overall/Read na tworzenie obiektów użytkowników poprzez przesłanie spreparowanego XML.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty typów oznaczonych jako przechowujące konfigurację w niezależnych plikach konfiguracyjnych (takich jak globalna konfiguracja i zadania) mogą pojawiać się jako zagnieżdżone wartości pól w dokumentach `config.xml` przesłanych przez użytkownika, a następnie obsługiwać żądania HTTP przez Stapler, co prowadzi do zdalnego wykonania kodu.

Podatność w module XML silnika NGINX JavaScript (njs) dotyczy parsera listy prefiksów przestrzeni nazw, osiągalnego przez metodę xml.exclusiveC14n(). Nieuwierzytelniony zdalny atakujący może wywołać zapis poza granicami alokacji sterty, gdy konfiguracja NGINX przekazuje zewnętrznie kontrolowaną listę prefiksów do tej metody. Dotyczy to zarówno silnika njs, jak i QuickJS (qjs).

Wada w util-linux: Ograniczone punkty montowania (bind mounts) pobierają ścieżkę źródłową z fstab, ale nie przypinają tego źródła przed uprzywilejowanym montowaniem. Lokalny nieuprzywilejowany użytkownik, który może zastąpić autoryzowane źródło lub zapisywalny katalog nadrzędny, może przekierować SUID mount(8) do powiązania innego katalogu hosta. Jeśli wpis fstab ustawia również X-mount.owner, X-mount.group lub X-mount.mode, root zmienia właściciela lub tryb na przekierowanym i-węźle.

Opcja X-mount.subdir używa szybkiej ścieżki z oddzielonym drzewem w Linuksie 6.15 i nowszych i przekazuje skonfigurowany podkatalog do open_tree() z AT_SYMLINK_NOFOLLOW. Ta flaga nie zatrzymuje przechodzenia przez pośrednie dowiązania symboliczne ani nie utrzymuje rozwiązywania wewnątrz nowo zamontowanego systemu plików. Lokalny nieuprzywilejowany użytkownik z wpisem X-mount.subdir autoryzowanym w fstab może podłączyć ścieżkę hosta w zamierzonym punkcie montowania.

Opcja nsenter --join-cgroup otwiera docelowy plik cgroup.procs jako root i pozostawia ten deskryptor pliku otwarty po późniejszych zmianach przestrzeni nazw i poświadczeń oraz po execve(). Ponieważ jądro sprawdza późniejsze migracje cgroup przy użyciu poświadczeń z pierwotnego otwarcia, program uruchomiony w kontrolowanym przez atakującego celu może odziedziczyć zdolność roota do przenoszenia procesów hosta między cgroup. Po użyciu --join-cgroup przez uprzywilejowanego operatora wobec tego celu, nieuprzywilejowany użytkownik może migrować i kończyć niepowiązane procesy roota.