CVE-2024-23897

Wegen einer Fehlkonfiguration einer Standardoption im CLI-Befehlsparser kann ein Angreifer beliebige Dateien lesen

Zusammenfassung des CVE

Jenkins 2.441 und früher sowie LTS 2.426.2 und früher deaktivieren eine Funktion ihres CLI-Befehlsparsers nicht, die ein '@'-Zeichen gefolgt von einem Dateipfad in einem Argument durch den Inhalt der Datei ersetzt, wodurch nicht authentifizierte Angreifer beliebige Dateien im Dateisystem des Jenkins-Controllers lesen können.

Betroffene Versionen

• Jenkins < 2.442
• Jenkins LTS Edition < 2.426.3

Anomalien

Das Security Advisory besagt Folgendes:

• Angreifer mit Overall/Read-Berechtigung können die gesamte Datei lesen
• Angreifer ohne Overall/Read-Berechtigung können die ersten Zeilen einer Datei lesen, abhängig von den verfügbaren CLI-Befehlen

Ich konnte keines von beidem reproduzieren, daher kann das Parsen der Ausgabe in einigen Fällen falsch sein. Verwenden Sie --raw, wenn Sie glauben, dass dies der Fall ist.

Referenzen

• Jenkins Security Advisory
• Github POC - h4x0r-dz, Jan 26 2024
• CVE-details - CVSS Score 9.8