CVE-2024-23897

Nome do Software Vulnerável e Versões Afetadas Jenkins versões anteriores a 2.442 Jenkins LTS versões anteriores a 2.426.3

Description O Jenkins contém uma falha em sua Interface de Linha de Comando (CLI) integrada devido ao uso da biblioteca args4j para analisar argumentos de comando. O analisador inclui um recurso chamado expandAtFiles que é ativado por padrão, o qual substitui um caractere @ seguido por um caminho de arquivo em um argumento pelo conteúdo real desse arquivo. Isso permite que invasores não autenticados leiam arquivos arbitrários no sistema de arquivos do controlador Jenkins. Invasores com permissões de Overall/Read podem ler arquivos inteiros, enquanto aqueles sem tais permissões ainda podem ler as primeiras linhas dos arquivos, dependendo dos comandos CLI disponíveis. Este problema foi explorado por grupos de ransomware e outros agentes de ameaças para obter chaves criptográficas e dados sensíveis, que podem ser encadeados com outras falhas para alcançar a execução remota de código. Aproximadamente 444.039 instâncias potencialmente afetadas foram identificadas por meio de ferramentas de varredura.

Recommendations Atualize o Jenkins para a versão 2.442. Atualize o Jenkins LTS para a versão 2.426.3. Como solução temporária, desative o acesso à CLI para eliminar a possibilidade de exploração.