CVE-2024-23897

Jenkins 2.441 y anteriores, LTS 2.426.2 y anteriores no deshabilitan una función de su analizador de comandos CLI que reemplaza un carácter '@' seguido de una ruta de archivo en un argumento con el contenido del archivo, permitiendo a atacantes no autenticados leer archivos arbitrarios en el sistema de archivos del controlador de Jenkins.

Explotación

Sigue estos pasos para ejecutar el exploit:

1. Otorgar permisos de ejecución al script:

   chmod +x run_exploit.sh
   

2. Ejecutar el script:

   ./run_exploit.sh
   

Referencias adicionales

Para mantenerse al día sobre la información relacionada con CVE-2024-23897 y su mitigación, consulta los siguientes recursos:

1. Feed de CVE-2024-23897 en Feedly:

   • Feed de CVE-2024-23897 en Feedly

2. Artículo de SecurityOnline:

   • CVE-2024-23897 - Vulnerabilidad de seguridad en Jenkins (Posible RCE)

3. Video educativo sobre mitigación:

   • Ver el video de mitigación