Jenkins · Jenkins Command Line Interface (CLI)
CVE-2024-23897
Jenkins Command Line Interface (CLI) Path Traversal Vulnerability
ما هي
Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.
CISA: Jenkins Command Line Interface (CLI) contains a path traversal vulnerability that allows attackers limited read access to certain files, which can lead to code execution.
ما العمل
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
الموعد النهائي للوكالات الفدرالية الأمريكية: 9 سبتمبر 2024
- أُضيفت إلى قائمة CISA
- 19 أغسطس 2024
- نُشرت
- 24 يناير 2024
- الخطورة
- حرجة 9.8 CVSS 3.1
- احتمال الهجمات خلال الأيام الـ30 القادمة (EPSS)
- >99.9% ضمن أعلى 0.1% من كل الثغرات المعروفة
- نوع الضعف
- CWE-27
- تفاصيل أكثر
- NVD · CVE.org · CISA
كل المراجع (5)
- https://www.jenkins.io/security/advisory/2024-01-24/#SECURITY-3314
- https://www.sonarsource.com/blog/excessive-expansion-uncovering-critical-security-vulnerabilities-in-jenkins/
- http://www.openwall.com/lists/oss-security/2024/01/24/6
- http://packetstormsecurity.com/files/176839/Jenkins-2.441-LTS-2.426.3-CVE-2024-23897-Scanner.html
- http://packetstormsecurity.com/files/176840/Jenkins-2.441-LTS-2.426.3-Arbitrary-File-Read.html
ثغرات مُستغلّة أخرى من Jenkins
| أُضيفت | الثغرة | المنتج | الخطورة | احتمال الهجوم |
|---|---|---|---|---|
| 02/10/2025 | Remote Code Execution | Jenkins | حرجة 9.8 | 99.7% |
| 12/05/2023 | User Interface (UI) Information Disclosure | Jenkins User Interface (UI) | مرتفع 7.5 | 23% |
| 25/04/2022 | Sandbox Bypass | Script Security Plugin | حرجة 9.9 | 74% |
| 25/03/2022 | Remote Code Execution | Matrix Project Plugin | حرجة 9.9 | 97% |
| 10/02/2022 | Stapler Web Framework Deserialization of Untrusted Data | Jenkins Stapler Web Framework | حرجة 9.8 | 98% |
المصادر: Known Exploited Vulnerabilities (CISA، ملكية عامة)، وCVE records (cve.org)، وEPSS (FIRST). احتمال الهجوم هو تقدير EPSS لاحتمال أن يحاول أحد استغلال الثغرة خلال الأيام الـ30 القادمة.