Phát hiện lỗ hổng nghiêm trọng có thể dẫn đến RCE trong hệ thống Jenkins - Vá ngay!

Những người duy trì phần mềm tự động hóa quá trình tích hợp và triển khai liên tục (CI/CD) mã nguồn mở Jenkins đã giải quyết 9 lỗ hổng bảo mật, bao gồm một lỗi nghiêm trọng có thể bị khai thác để thực thi mã từ xa (RCE).

Vấn đề có định danh CVE-2024-23897, một lỗ hổng đọc tệp tùy ý thông qua giao diện dòng lệnh (CLI)

Các nhà bảo trì cho biết: “Jenkins sử dụng thư viện args4j để phân tích các tùy chọn và đối số lệnh trên bộ điều khiển (controller) Jenkins khi xử lý các lệnh CLI”.

"Công cụ phân tích cú pháp dòng lệnh này có một tính năng cho phép thay thế ký tự @ theo sau là đường dẫn tệp trong đối số với nội dung của tệp (expandAtFiles). Tính năng này được bật theo mặc định và Jenkins <=2.441, LTS <=2.426.2 không tắt tính năng này."

Tác nhân đe dọa có thể khai thác lỗi này để đọc các tệp tùy ý trên hệ thống tệp Jenkins controller. Kẻ tấn công có quyền "Overall/Read" có thể đọc toàn bộ tệp, những người không có quyền này có thể đọc ba dòng đầu tiên của tệp tùy thuộc vào lệnh CLI.

Ngoài ra, lỗ hổng có thể bị lạm dụng để đọc các tệp nhị phân chứa các khóa mật mã (cryptographic key), mặc dù có một số hạn chế nhất định.

Jenkins cho biết rằng một khi các dữ liệu bí mật (secrets) này bị trích xuất, nó có thể tạo điều kiện để thực hiện nhiều cuộc tấn công khác nhau như thực thi mã từ xa, giải mã secrets, xóa tệp,…

Lỗ hổng, được nhà nghiên cứu Yaniv Nizry phát hiện và báo cáo, hiện đã được vá trong phiên bản Jenkins 2.442, LTS 2.426.3 bằng cách vô hiệu hóa tính năng phân tích cú pháp dòng lệnh.

Để giảm thiểu các rủi ro liên quan, người dùng nên cập nhật bản vá cho lỗ hổng ngay lập tức hoặc tắt quyền truy cập vào CLI cho đến khi có thể áp dụng bản vá.

Nguồn: thehackernews.com.