CVE-2024-23904

Plugin Jenkins Log Command, versões 1.0.2 e anteriores

A vulnerabilidade está relacionada ao recurso de analisador de comandos do Jenkins Log Command Plugin, que substitui o caractere ‘@’ seguido de um caminho de arquivo em um argumento pelo conteúdo do arquivo. Isso permite que invasores não autenticados leiam o conteúdo de arquivos arbitrários no sistema de arquivos do controlador Jenkins. A exploração dessa vulnerabilidade pode permitir que um invasor remoto leia o conteúdo de arquivos arbitrários.

Para as versões 1.0.2 e anteriores do Jenkins Log Command Plugin, considere desativar o recurso de analisador de comandos que substitui o caractere ‘@’ pelo conteúdo do arquivo até que uma correção esteja disponível. Restrinja o acesso a arquivos confidenciais no sistema de arquivos do controlador Jenkins para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.