Katalog podatności CVE

Podatność w Jenkins Microsoft Entra ID Plugin 710.v0b_ff8e9cc2d2 i wcześniejszych polega na przyznawaniu uprawnień grupom Entra na podstawie zarówno unikalnego identyfikatora obiektu, jak i nazwy wyświetlanej. Atakujący, którzy mogą utworzyć grupę Entra z kolidującą nazwą wyświetlaną, mogą uzyskać uprawnienia skonfigurowane dla uprzywilejowanej grupy.

Podatność w Jenkins File Parameter Plugin 425.v3fa_801681b_5e i wcześniejszych pozwala na zapisywanie plików w dowolnych lokalizacjach w systemie plików kontrolera Jenkinsa przez wiązanie danych Stapler, co może prowadzić do zdalnego wykonania kodu.

Podatność w Jenkins Performance Plugin 1015.v09ca_52b_3370e i wcześniejszych nie ogranicza klas, które mogą być instancjonowane podczas deserializacji buforowanych raportów wydajności przechowywanych w katalogu budowy na kontrolerze Jenkinsa. Atakujący z uprawnieniami Item/Configure mogą wykonać dowolny kod na kontrolerze.

Podatność typu path traversal w Jenkins Allure Plugin 2.35.2 i wcześniejszych pozwala atakującym z uprawnieniami Item/Read na zadania publikujące wyniki raportów Allure na odczyt dowolnych plików w systemie plików kontrolera Jenkinsa.

Wtyczka Jenkins SAML Plugin w wersji 4.618.v441a_27fa_46d2 i wcześniejszych pozwala na nadpisanie pliku metadanych dostawcy tożsamości SAML przez wiązanie danych Stapler, co umożliwia atakującym zastąpienie go treścią kontrolowaną przez atakującego i uwierzytelnienie się jako dowolny użytkownik.

Wtyczka Jenkins ThinBackup Plugin w wersji 2.1.4 i wcześniejszych pozwala na nadpisanie konfiguracji kopii zapasowych wtyczki przez wiązanie danych Stapler, co umożliwia atakującym przekierowanie zapisu kopii zapasowych do wskazanego przez atakującego katalogu oraz dołączanie dowolnych plików z systemu plików kontrolera Jenkinsa do kopii zapasowych.

Wtyczka SonarQube Scanner dla Jenkinsa w wersji 2.18.3 i wcześniejszych nie ogranicza schematów URL dla linków do pulpitu nawigacyjnego tworzonych na podstawie wyników skanera SonarQube, co pozwala na użycie schematu `javascript:` i prowadzi do podatności na trwały cross-site scripting (XSS). Luka może być wykorzystana przez atakujących z uprawnieniami Item/Configure.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Jenkins nie rotuje sesji, gdy użytkownik jest uwierzytelniany przez ciasteczko "remember me". Pozwala to atakującym, którzy mogą serwować treści na tej samej stronie co Jenkins, ustawić znane ciasteczko sesji w przeglądarce ofiary, co po uwierzytelnieniu ofiary przez ciasteczko "remember me" daje atakującemu dostęp do Jenkinsa jako ten użytkownik.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, pola przejściowe (transient) nie mogą być wykluczone z deserializacji. Pozwala to atakującym, którzy mogą przesyłać aktualizacje konfiguracji, na określenie wartości pól przejściowych, które będą deserializowane, a wpływ zależy od sposobu użycia tych pól.

W Staplerze w wersjach od 1839.ved17667b_a_eb_5 do 2107.v8dfcb_e8ed317 (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.447 do 2.579 oraz LTS 2.452.1 do 2.568.2, punkt końcowy HTTP serwujący dynamicznie generowane zasoby JavaScript osadza token CSRF (crumb) użytkownika jako literał ciągu znaków. Pozwala to atakującym kontrolującym stronę na tym samym hoście co Jenkins na uzyskanie ważnego crumb dla sesji ofiary i wykonywanie działań w jej imieniu.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, przeglądarka logów systemowych nie escapuje metadanych rekordów logów (źródło, poziom i znacznik czasu), co prowadzi do podatności na przechowywany XSS. Atakujący kontrolujący procesy agentów mogą wykorzystać tę podatność.

W Staplerze 2107.v8dfcb_e8ed317 i wcześniejszych (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Stapler nie ogranicza typów obiektów, które mogą być tworzone przez wiązanie danych z formularzy, do typów zgodnych z oczekiwanym typem pola. Pozwala to atakującym z uprawnieniem Overall/Read na tworzenie typów związanych z konfiguracją, dla których to pole nie było przeznaczone.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty typów oznaczonych jako przechowujące konfigurację w niezależnych plikach konfiguracyjnych (takich jak globalna konfiguracja i zadania) mogą pojawiać się jako zagnieżdżone wartości pól w dokumentach `config.xml` przesłanych przez użytkownika, a następnie obsługiwać żądania HTTP przez Stapler, co prowadzi do zdalnego wykonania kodu.

Podatność w module XML silnika NGINX JavaScript (njs) dotyczy parsera listy prefiksów przestrzeni nazw, osiągalnego przez metodę xml.exclusiveC14n(). Nieuwierzytelniony zdalny atakujący może wywołać zapis poza granicami alokacji sterty, gdy konfiguracja NGINX przekazuje zewnętrznie kontrolowaną listę prefiksów do tej metody. Dotyczy to zarówno silnika njs, jak i QuickJS (qjs).

Wada w util-linux: Ograniczone punkty montowania (bind mounts) pobierają ścieżkę źródłową z fstab, ale nie przypinają tego źródła przed uprzywilejowanym montowaniem. Lokalny nieuprzywilejowany użytkownik, który może zastąpić autoryzowane źródło lub zapisywalny katalog nadrzędny, może przekierować SUID mount(8) do powiązania innego katalogu hosta. Jeśli wpis fstab ustawia również X-mount.owner, X-mount.group lub X-mount.mode, root zmienia właściciela lub tryb na przekierowanym i-węźle.

Opcja X-mount.subdir używa szybkiej ścieżki z oddzielonym drzewem w Linuksie 6.15 i nowszych i przekazuje skonfigurowany podkatalog do open_tree() z AT_SYMLINK_NOFOLLOW. Ta flaga nie zatrzymuje przechodzenia przez pośrednie dowiązania symboliczne ani nie utrzymuje rozwiązywania wewnątrz nowo zamontowanego systemu plików. Lokalny nieuprzywilejowany użytkownik z wpisem X-mount.subdir autoryzowanym w fstab może podłączyć ścieżkę hosta w zamierzonym punkcie montowania.

Opcja nsenter --join-cgroup otwiera docelowy plik cgroup.procs jako root i pozostawia ten deskryptor pliku otwarty po późniejszych zmianach przestrzeni nazw i poświadczeń oraz po execve(). Ponieważ jądro sprawdza późniejsze migracje cgroup przy użyciu poświadczeń z pierwotnego otwarcia, program uruchomiony w kontrolowanym przez atakującego celu może odziedziczyć zdolność roota do przenoszenia procesów hosta między cgroup. Po użyciu --join-cgroup przez uprzywilejowanego operatora wobec tego celu, nieuprzywilejowany użytkownik może migrować i kończyć niepowiązane procesy roota.

Podatność w NGINX JavaScript, gdzie nieprawidłowa odpowiedź HTTP otrzymana przez ngx.fetch() może spowodować awarię procesu roboczego NGINX, gdy zaufany JavaScript odczytuje Response.statusText. Wykorzystanie wymaga kontroli lub wpływu na pobieraną odpowiedź HTTP.

Podatność w NGINX Ingress Controller, gdzie konfiguracja generowana na podstawie adnotacji Ingress nie jest sanityzowana. Uwierzytelniony atakujący z uprawnieniami do tworzenia lub modyfikowania tych adnotacji może wstrzyknąć dowolne dyrektywy konfiguracji NGINX.

Podatność w BIG-IP, gdzie uwierzytelniony użytkownik dowolnej roli może tworzyć konta administracyjne poprzez nieujawnione żądanie do Traffic Management User Interface (TMUI).