cc3305/cve-2024-23897Script d'exploitation pour CVE-2024-23897, exploitant une mauvaise configuration de l'analyseur de commandes Jenkins CLI pour lire des fichiers arbitraires sur les contrôleurs Jenkins non patchés (versions < 2.442, LTS < 2.426.3).
En raison d'une mauvaise configuration d'une option par défaut dans l'analyseur de commandes CLI, un attaquant peut lire des fichiers arbitraires
Jenkins 2.441 et versions antérieures, LTS 2.426.2 et versions antérieures ne désactive pas une fonctionnalité de son analyseur de commandes CLI qui remplace un caractère '@' suivi d'un chemin de fichier dans un argument par le contenu du fichier, permettant à des attaquants non authentifiés de lire des fichiers arbitraires sur le système de fichiers du contrôleur Jenkins.
L'avis de sécurité indique ce qui suit :
Je n'ai pas réussi à reproduire l'un ou l'autre, donc l'analyse de la sortie peut être erronée dans certains cas. Utilisez --raw si vous pensez que c'est le cas.
