Ismail Aydemir

Existe uma falha na Opto22 Groov Manage REST API que pode permitir a execução remota de código com privilégios de root. O problema ocorre quando uma solicitação POST é enviada para um endpoint vulnerável. A aplicação manipula incorretamente os detalhes do cabeçalho da solicitação, utilizando-os para construir comandos sem salvaguardas suficientes. Isso permite que um invasor com acesso administrativo injete e execute comandos arbitrários como root. O endpoint vulnerável processa solicitações POST e utiliza informações do cabeçalho para construir comandos. Os parâmetros vulneráveis estão nos cabeçalhos da solicitação.

A vulnerabilidade permite que invasores com permissão para criar ou configurar diversos objetos injetem conteúdo malicioso no Old Data Monitor, resultando na instanciação de objetos potencialmente perigosos após serem descartados por um administrador. Isso é possível porque, quando a desserialização falha devido a dados inválidos, o Jenkins armazena referências de objetos inválidos criadas por meio de APIs REST XML no Old Data Monitor. Se um administrador descartar os dados antigos, alguns dados errôneos enviados a esses endpoints podem ser mantidos. Invasores com permissões View/Create, Job/Create, Agent/Create ou suas respectivas permissões */Configure podem explorar essa vulnerabilidade.