CVE-2024-23897

CLIコマンドパーサーのデフォルトオプションの設定ミスにより、攻撃者は任意のファイルを読み取ることができます。

CVEの概要

Jenkins 2.441 以前および LTS 2.426.2 以前では、CLIコマンドパーサーが、引数内の '@' 文字に続くファイルパスをファイルの内容に置き換える機能を無効化していません。これにより、認証されていない攻撃者が Jenkins コントローラのファイルシステム上の任意のファイルを読み取ることができます。

影響を受けるバージョン

• Jenkins < 2.442
• Jenkins LTS Edition < 2.426.3

異常

Security Advisory には次のように記載されています。

• Overall/Read 権限を持つ攻撃者はファイル全体を読み取ることができます
• Overall/Read 権限を持たない攻撃者は、利用可能なCLIコマンドに応じて、ファイルの最初の数行を読み取ることができます

私はこのいずれも再現できなかったため、出力の解析が一部の場合で誤っている可能性があります。この可能性がある場合は --raw を使用してください。

参照

• Jenkins Security Advisory
• Github POC - h4x0r-dz, Jan 26 2024
• CVE-details - CVSS Score 9.8