CVE-2024-23897

اسم البرنامج المصاب والإصدارات المتأثرة Jenkins الإصدارات السابقة لـ 2.442 Jenkins LTS الإصدارات السابقة لـ 2.426.3

Description يحتوي Jenkins على خلل في واجهة سطر الأوامر (CLI) المدمجة بسبب استخدام مكتبة args4j لتحليل وسائط الأوامر. يتضمن المحلل ميزة تسمى expandAtFiles مفعلة افتراضيًا، والتي تستبدل رمز @ متبوعًا بمسار ملف في الوسيط بمحتويات ذلك الملف الفعلية. يسمح هذا للمهاجمين غير المصرح لهم بقراءة ملفات عشوائية من نظام ملفات متحكم Jenkins. يمكن للمهاجمين الذين لديهم صلاحيات القراءة العامة قراءة الملفات بالكامل، بينما قد يتمكن أولئك الذين لا يملكون هذه الصلاحيات من قراءة السطور الأولى من ملفات معينة. تم استغلال هذه الثغرة بنشاط من قبل مجموعات برامج الفدية وجهات تهديد أخرى لسرقة مفاتيح التشفير والبيانات الحساسة، ويمكن ربطها بثغرات أخرى لتحقيق تنفيذ عن بُعد للكود. تم تحديد حوالي 444,039 حالة متأثرة محتملة على مستوى العالم.

Recommendations تحديث Jenkins إلى الإصدار 2.442. تحديث Jenkins LTS إلى الإصدار 2.426.3. كإجراء مؤقت، قم بتعطيل الوصول إلى واجهة سطر الأوامر (CLI) للقضاء على إمكانية الاستغلال.