Máy chủ Jenkins tồn tại lỗ hổng nghiêm trọng có thể khiến rò rỉ thông tin nhạy cảm

[WhiteHat News #ID:0911]

Mới đây, phần mềm máy chủ tự động mã nguồn mở Jenkins đăng tải thông báo liên quan đến lỗ hổng nghiêm trọng trên máy chủ web Jetty. Lỗ hổng có thể dẫn đến lỗi tràn bộ nhớ và rò rỉ thông tin nhạy cảm.

Lỗ hổng CVE-2019-17638 có điểm CVSS 9,4, ảnh hưởng đến các phiên bản Eclipse Jetty từ 9.4.27.v20200227 đến 9.4.29.v20200521. Jetty là một công cụ đầy đủ tính năng có nhiệm vụ cung cấp máy chủ Java HTTP và thùng chứa (containter) web để sử dụng trong các framework phần mềm.
Lỗ hổng, ảnh hưởng đến Jetty và Jenkins Core, có vẻ bắt đầu xuất hiện từ phiên bản Jetty 9.4.27 – phiên bản bổ sung cơ chế xử lý các tiêu đề phản hồi HTTP lớn và ngăn chặn lỗi tràn bộ đệm.
Để xử lý vấn đề tràn bộ đệm này, Jetty trả về một kết quả ngoại lệ, tạo lỗi HTTP 431, khiến tiêu đề phản hồi HTTP được phát hành vào vùng đệm 2 lần gây ra lỗi hỏng bộ nhớ và tiết lộ thông tin.
Do tiêu đề phản hồi được phát hành 2 lần, 2 thread có thể sẽ cùng một lúc có cùng 1 bộ đệm, dẫn đến nguy cơ một trong hai thread tiếp cận phản hồi của thread còn lại cùng các thông tin như session ID, thông tin xác thực và thông tin nhạy cảm khác.
Lỗi bộ nhớ khiến máy khách có thể thay đổi giữa các phiên, có quyền truy cập nhiều tài khoản, cho phép người dùng A chuyển sang phiên của người dùng B.
Sau khi các khuyến cáo an ninh được tiết lộ, lỗ hổng đã được giải quyết trong Jetty 9.4.30.v20200611, phát hành hồi tháng 7. Jenkins đã vá lỗ hổng trong tiện ích của hãng tại bản Jenkins 2.243 và Jenkins LTS 2.235.5 được phát hành ngày hôm qua.
Người dùng Jenkins được khuyến cáo cập nhật phần mềm lên phiên bản mới nhất để giảm thiểu rủi ro.

Nguồn: The Hacker News​