Erweiterung der Angriffsfläche

1. Anmeldeinformationen extrahieren:
   • /var/jenkins_home/credentials.xml für verschlüsselte Anmeldeinformationen lesen
   • /var/jenkins_home/secrets/master.key und hudson.util.Secret zur Entschlüsselung lesen
   • Anmeldeinformationen mit der Jenkins-Script-Konsole entschlüsseln: println(Hudson.util.Secret.fromString("{XXX=}").getPlainText())
2. „Remember-me“-Cookies fälschen:
   • Administrativen Zugriff durch Fälschen von Authentifizierungs-Cookies erlangen
3. Beliebigen Code ausführen:
   • RCE über Resource Root URL, XSS oder CSRF-Vektoren erreichen

💥 Auswirkungen Sofortige Auswirkungen

• Vertraulichkeit: Vollständige Offenlegung aller Dateien auf dem Jenkins-Server (Quellcode, Anmeldeinformationen, SSH-Schlüssel, Token)
• Integrität: Angreifer können Builds, Pipelines und Konfigurationen ändern
• Verfügbarkeit: Potenzial für Denial-of-Service oder Ransomware-Einsatz

Ausnutzung in der realen Welt

• Hinzugefügt zum Katalog der von CISA bekannten ausgenutzten Sicherheitslücken (KEV)
• Von Ransomware-Banden (RansomEXX) genutzt, um Infrastrukturen zu kompromittieren
• Vom Bedrohungsakteur IntelBroker ausgenutzt, um GitHub-Repositories zu stehlen und IT-Dienstleister zu kompromittieren

🔧 Erkennung Indikatoren für eine Kompromittierung

Erfolgreiche Ausnutzungsversuche können erkannt werden durch:

HTTP-Anfragemuster: text

POST /cli?remoting=false HTTP/1.1 Content-type: application/octet-stream [binary payload containing @/path/to/file]

Typische Payload-Beispiele:

• @/etc/passwd
• @/var/jenkins_home/secrets/initialAdminPassword
• @/etc/os-release

Splunk-Erkennungsabfrage text

index=web uri="/cli?remoting=false" http_method=POST http_status=200

🛡️ Abschwächung Offizieller Fix

Auf gepatchte Versionen aktualisieren:

• Jenkins ≥ 2.442
• Jenkins LTS ≥ 2.426.3

Vorübergehende Abschwächung

Wenn ein sofortiges Patchen nicht möglich ist:

• Jenkins-CLI-Zugriff deaktivieren
• Java-Systemeigenschaft setzen: hudson.cli.CLICommand.allowAtSyntax=false
• Netzwerkzugriff auf die Jenkins-Admin-Oberfläche einschränken
• WAF-Regeln implementieren, um Anfragen mit @/ Mustern zu blockieren

🔗 Referenzen

• NVD-Eintrag
• Jenkins-Sicherheitshinweis
• CISA-KEV-Katalog
• Splunk-Forschung
• Tenable CVE-Seite

📦 Erstellen und Ausführen bash

Build the exploit

go build -o jenkins-cve-2024-23897 exploit.go

Run the exploit

./jenkins-cve-2024-23897 http://target-jenkins:8080 /etc/passwd

Run with Go directly

go run exploit.go http://target-jenkins:8080 /etc/passwd

🎯 Anwendungsbeispiele bash

Read sensitive files

./jenkins-cve-2024-23897 http://jenkins.internal:8080 /etc/passwd ./jenkins-cve-2024-23897 http://localhost:8080 /var/jenkins_home/secrets/initialAdminPassword

Read Windows file (if Jenkins runs on Windows)

./jenkins-cve-2024-23897 http://win-jenkins:8080 C:/Windows/win.ini

⚙️ Funktionsweise

• Sitzungsinitialisierung: Erzeugt eine eindeutige 20-Byte-Sitzungs-ID
• Payload-Erstellung: Erstellt binären Payload mit help @/path/to/file-Struktur
• Upload-Phase: Sendet Payload an den Jenkins-CLI-Endpunkt
• Download-Phase: Ruft Dateiinhalt aus der Antwort ab
• Ausgabe: Zeigt den Dateiinhalt oder eine Fehlermeldung an

📊 Funktionen

• Reine Go-Implementierung – Keine externen Abhängigkeiten
• Plattformübergreifend – Funktioniert unter Windows, Linux, macOS
• Konfigurierbare Timeouts – Anpassbar für langsame Netzwerke
• Saubere Fehlerbehandlung – Detaillierte Fehlermeldungen
• Binärdatei-sicher – Verarbeitet sowohl Text- als auch Binärdateien

⚠️ Wichtige Hinweise

• Nur zu Bildungszwecken – Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine Testberechtigung haben
• Nicht authentifizierte Lesevorgänge – Ohne Authentifizierung sind nur die ersten ~3 Zeilen lesbar
• Binärdateien – Können von Kodierungsproblemen betroffen sein (für eine bessere Binärextraktion Windows-Ziel verwenden)