CVE-2024-23897

КритическийОпубликовано

Уязвимость обхода пути в интерфейсе командной строки (CLI) Jenkins

Опубликовано: 24 янв. 2024 г.
Обновлено: 21 окт. 2025 г.
Назначение CNA: jenkins
Наблюдены доказательства: 15 апр. 2024 г.

Первичный CVSS

9,8/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

100,0 %

Высокий · следующие 30 дней

Процентиль: 100,0 %
Дата модели: 19 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

CISA Известно, что эксплуатация

Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.

Резюме

Jenkins 2.441 и более ранние версии, LTS 2.426.2 и более ранние версии не отключают функцию своего парсера команд CLI, которая заменяет символ '@', за которым следует путь к файлу в аргументе, содержимым файла, что позволяет неавторизованным злоумышленникам читать произвольные файлы в файловой системе контроллера Jenkins.

Источники

Данные репозиториев: Файлы: 3 · Репозитории: 3

1 Модуль1 Шаблон1 Лаборатория

Jenkins cli Ampersand Replacement Arbitrary File ReadМодуль
modules/auxiliary/gather/jenkins_cli_ampersand_arbitrary_file_read.rb
Metasploit Framework modules
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 1e321cedaf4cСвязанный инструмент
Заявленные условия
- verification: check_declared($.auxiliary_gather/jenkins_cli_ampersand_arbitrary_file_read.check)
Jenkins Arbitrary File Read Through the CLIЛаборатория
jenkins/CVE-2024-23897
Jenkins Arbitrary File Read Through the CLI (CVE-2024-23897)
Vulhub vulnerability labs
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 9b90d4276f84Связанный инструмент
Заявленные условия
- lab image version: vulhub/jenkins:2.441(jenkins/CVE-2024-23897/docker-compose.yml:services.jenkins.image)
Jenkins < 2.441 - Arbitrary File ReadШаблон
javascript/cves/2024/CVE-2024-23897.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: ee9e6969a9beСвязанный инструмент
Заявленные условия
- verification: dsl($.matchers[*].type)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.