CVE-2024-43044/ Jenkins
Date de divulgation: 7 août 2024
CVE-ID et score CVSS: CVE-2024-43044 : CVSS 9.9 (Critique)
Nom et description du problème: Une vulnérabilité de lecture arbitraire de fichiers via des connexions d'agents peut conduire à un RCE dans Jenkins.
Description de l'actif: Jenkins est un serveur d'automatisation et de construction open-source utilisé dans les environnements de développement pour construire, tester et déployer des logiciels.
Impact de la vulnérabilité: Un acteur de menace pourrait exploiter ces vulnérabilités pour lire des fichiers arbitraires à partir du système de fichiers et potentiellement exécuter du code arbitraire sur les instances Jenkins affectées.
Détails de l'exploitation: Jenkins utilise une bibliothèque pour la communication entre les contrôleurs et les agents. Cette bibliothèque permet aux agents de charger des classes Java à partir du contrôleur afin qu'elles puissent être exécutées sur les agents, ce qui pourrait être utilisé pour lire des fichiers arbitraires à partir du système de fichiers du contrôleur Jenkins.
Disponibilité du correctif: Jenkins weekly peut être mis à jour vers la version 2.471, et Jenkins LTS peut être mis à jour vers la version 2.452.4 ou 2.462.1.
Censys Perspective:
À l'heure où nous écrivons ces lignes, Censys observe 81 830 dispositifs exposés en ligne.
Pour identifier les instances de Jenkins, les requêtes suivantes Censys peuvent être utilisées :
Censys Requête de recherche pour toutes les instances Jenkins exposées:
services.software: (product: jenkins and product: jenkins) (link)
Notez que cela ne permet pas d'identifier les versions vulnérables.
Censys Requête ASM pour les Jenkins potentiellement vulnérables:
risks.name="Jenkins Vulnerability [CVE-2024-43044]" (link)
Références:
