Jenkins · Jenkins Command Line Interface (CLI)
CVE-2024-23897
Jenkins Command Line Interface (CLI) Path Traversal Vulnerability
چیست
Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.
CISA: Jenkins Command Line Interface (CLI) contains a path traversal vulnerability that allows attackers limited read access to certain files, which can lead to code execution.
چه باید کرد
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
مهلت برای نهادهای فدرال آمریکا: ۹ سپتامبر ۲۰۲۴
- افزوده‌شده به فهرست CISA
- ۱۹ اوت ۲۰۲۴
- منتشرشده
- ۲۴ ژانویهٔ ۲۰۲۴
- شدت
- بحرانی ۹٫۸ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- >۹۹٫۹% در ۰٫۱% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-27
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (5)
- https://www.jenkins.io/security/advisory/2024-01-24/#SECURITY-3314
- https://www.sonarsource.com/blog/excessive-expansion-uncovering-critical-security-vulnerabilities-in-jenkins/
- http://www.openwall.com/lists/oss-security/2024/01/24/6
- http://packetstormsecurity.com/files/176839/Jenkins-2.441-LTS-2.426.3-CVE-2024-23897-Scanner.html
- http://packetstormsecurity.com/files/176840/Jenkins-2.441-LTS-2.426.3-Arbitrary-File-Read.html
آسیب‌پذیری‌های دیگر Jenkins که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۲ اکتبر ۲۰۲۵ | Remote Code Execution | Jenkins | بحرانی ۹٫۸ | ۹۹٫۷% |
| ۱۲ مه ۲۰۲۳ | User Interface (UI) Information Disclosure | Jenkins User Interface (UI) | بالا ۷٫۵ | ۲۳% |
| ۲۵ آوریل ۲۰۲۲ | Sandbox Bypass | Script Security Plugin | بحرانی ۹٫۹ | ۷۴% |
| ۲۵ مارس ۲۰۲۲ | Remote Code Execution | Matrix Project Plugin | بحرانی ۹٫۹ | ۹۷% |
| ۱۰ فوریه ۲۰۲۲ | Stapler Web Framework Deserialization of Untrusted Data | Jenkins Stapler Web Framework | بحرانی ۹٫۸ | ۹۸% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.