CVE-2024-23897

Jenkins verfügt über eine integrierte Befehlszeilenschnittstelle (CLI) für den Zugriff auf Jenkins aus einem Skript oder einer Shell-Umgebung.

Jenkins verwendet die Bibliothek args4j, um Befehlsargumente und -optionen auf dem Jenkins-Controller bei der Verarbeitung von CLI-Befehlen zu parsen. Dieser Befehlsparser hat eine Funktion, die ein @-Zeichen, gefolgt von einem Dateipfad in einem Argument, durch den Inhalt der Datei ersetzt (expandAtFiles). Diese Funktion ist standardmäßig aktiviert und Jenkins 2.441 und älter, LTS 2.426.2 und älter, deaktivieren sie nicht.

Dies ermöglicht Angreifern, beliebige Dateien im Dateisystem des Jenkins-Controllers unter Verwendung der Standardzeichenkodierung des Jenkins-Controller-Prozesses zu lesen.

Angreifer mit der Berechtigung Overall/Read können ganze Dateien lesen.

Angreifer ohne die Berechtigung Overall/Read können die ersten paar Zeilen von Dateien lesen. Die Anzahl der lesbaren Zeilen hängt von den verfügbaren CLI-Befehlen ab. Zum Zeitpunkt der Veröffentlichung dieser Warnung hat das Jenkins-Sicherheitsteam in aktuellen Jenkins-Versionen ohne installierte Plugins Wege gefunden, die ersten drei Zeilen von Dateien zu lesen, und hat keine Plugins identifiziert, die diese Zeilenanzahl erhöhen würden.

Fehlerbehebungsbeschreibung: Jenkins 2.442, LTS 2.426.3 deaktiviert die Befehlsparser-Funktion, die ein @-Zeichen gefolgt von einem Dateipfad in einem Argument durch den Dateiinhalt für CLI-Befehle ersetzt.

Bei Problemen mit dieser Fehlerbehebung deaktivieren Sie diese Änderung, indem Sie die Java-Systemeigenschaft hudson.cli.CLICommand.allowAtSyntax auf true setzen. Dies wird dringend abgeraten in jedem Netzwerk, das von Benutzern erreicht werden kann, die keine Jenkins-Administratoren sind.

Workaround: Das Deaktivieren des Zugriffs auf die CLI sollte die Ausnutzung vollständig verhindern. Dies wird Administratoren, die nicht sofort auf Jenkins 2.442, LTS 2.426.3 aktualisieren können, dringend empfohlen. Die Anwendung dieses Workarounds erfordert keinen Neustart von Jenkins.

Weitere Informationen unter: https://www.jenkins.io/security/advisory/2024-01-24/#SECURITY-3314

Befehl zum Ausführen: python CVE-2024-23897 Jenkins.py -l list.txt -f /etc/passwd

Die VULN-Ausgabeantwort kann mehr als daemon oder bin enthalten, fügen Sie in Zeile 28 hinzu, wenn Sie weitere hinzufügen möchten.