[Cập nhật] Xuất hiện PoC cho lỗ hổng CVE-2024-23897

[WhiteHat News #ID:2018]

Cập nhật:​

Bằng chứng khai thác (PoC) cho lỗ hổng CVE-2024-23897 nghiêm trọng trong Jenkins đã được công bố một ngày sau khi khuyến cáo của nhà cung cấp được đưa ra. Nhiều PoC khác nhau đã được phát hành và hacker đã kết hợp các cách khai thác lỗ hổng này trong chuỗi tấn công của chúng.

Để đối phó với lỗ hổng này, nhóm bảo mật Jenkins đã phát hành một bản vá trong Jenkins 2.442 và LTS 2.426.3. Bản vá này sẽ vô hiệu hóa tính năng phân tích cú pháp lệnh (expandAtFiles). Người dùng cần nhanh chóng cập nhật bản vá để giảm thiểu rủi ro bị tấn công.

---

Nhà phát triển của ứng dụng nguồn mở Jenkins có chức năng tích hợp liên tục/phân phối liên tục và triển khai các tác vụ tự động hóa (CI/CD), đã xử lý 9 lỗ hổng bao gồm 1 lỗi nghiêm trọng mà nếu khai thác thành công có thể dẫn đến thực thi mã từ xa (RCE).

Lỗ hổng nghiêm trọng nhất có mã định danh CVE-2024-23897, lỗi đọc tệp tùy ý qua giao diện dòng lệnh (CLI).

Trong khuyến cáo của mình các nhà bảo trì cho biết: “Jenkins sử dụng thư viện args4j để phân tích các đối số lệnh và tùy chọn trên bộ điều khiển Jenkins khi xử lý các lệnh CLI. Trình phân tích cú pháp lệnh có một tính năng thay thế một ký tự @ theo sau là đường dẫn tệp trong đối số có nội dụng của tệp (expandAlFiles). Tính năng này được bật mặc định. Các phiên bản Jenkins 2.441 trở về trước, LTS 2.426.2 trở về trước không tắt tính năng này.

Kẻ xấu có thể khai thác lỗ hổng để đọc các tệp tùy ý trên hệ thống tệp điều khiển Jenkins bằng cách sử dụng mã hóa ký tự mặc định trên tiến trình điều khiển của Jenkins.

Kẻ tấn công với quyền “Overall/Read có thể đọc toàn bộ tệp tin, hoặc nếu không có quyền này họ có thể đọc ba dòng đầu tiên của tệp tùy thuộc vào các lệnh CLI.

Ngoài ra, điểm yếu này có thể bị vũ khí hóa để đọc tệp nhị phân có chứa các khóa mật mã dù có một số hạn chế nhất định. Với điều kiện các bí mật nhị phân có thể được trích xuất có thể tạo điều kiện cho các cuộc tấn công khác nhau như:

• Thực thi mã từ xa qua các liên kết Resource Root URL
• Thực thi mã từ xa qua cookie “Remember me”
• Thực thi mã từ xa qua các cuộc tấn công stored XSS qua các bản log đã dựng.
• Thực thi mã từ xa qua lỗ hổng vượt qua cơ chế bảo vệ CSRF
• Giải mã các bí mật được lưu trữ trong Jenkins
• Xóa các thư mục trong Jenkins
• Tải xuống file dump vùng dữ liệu heap của Java

Lỗ hổng đã được xử lý trong Jenkins phiên bản 2.442, LTS 2.426.3 bằng cách tắt tính năng phân tích cú pháp lệnh. Giải pháp giảm thiểu tạm thời cho đến khi cập nhật bản vá đó là người dùng nên tắt truy cập vào CLI.

Theo The Hacker News​