BDU:2024-06145

Опубликовано: 07 авг. 2024

Источник: fstec

CVSS3: 9

CVSS2: 7.6

EPSS Средний

Описание

Уязвимость библиотеки Remoting сервера автоматизации Jenkins связана с недостатками ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём загрузки агентами классов и ресурсов загрузчика классов из контроллера

Вендор

Косукэ Кавагути

Наименование ПО

Jenkins

Версия ПО

до 2.471 (Jenkins)

до LTS 2.452.4 (Jenkins)

до LTS 2.462.1 (Jenkins)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- для запрета запросов jar агентами необходимо установить системное свойство Javajenkins.security.s2m.JarURLValidatorImpl.REJECT_ALL на контроллере на true;

- использование антивирусного программного обеспечения для отслеживания попыток внедрения вредоносного кода;

- использование SIEM-систем для отслеживания событий безопасности.

Использование рекомендаций производителя:

https://www.jenkins.io/security/advisory/2024-08-07/#SECURITY-3430

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.jenkins.io/security/advisory/2024-08-07/#SECURITY-3430

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-43044
CVE

EPSS

Процентиль: 98%

0.53187

Средний

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

ROS-20240918-10

CVSS3: 6.3

redos

9 месяцев назад

Множественные уязвимости jenkins

CVE-2024-43044

CVSS3: 8.8

redhat

11 месяцев назад

Jenkins 2.470 and earlier, LTS 2.452.3 and earlier allows agent processes to read arbitrary files from the Jenkins controller file system by using the `ClassLoaderProxy#fetchJar` method in the Remoting library.

CVE-2024-43044

CVSS3: 8.8

nvd

11 месяцев назад

CVE-2024-43044

CVSS3: 8.8

debian

11 месяцев назад

Jenkins 2.470 and earlier, LTS 2.452.3 and earlier allows agent proces ...

GHSA-h856-ffvv-xvr4

CVSS3: 9

github

11 месяцев назад

Jenkins Remoting library arbitrary file read vulnerability

EPSS

Процентиль: 98%

0.53187

Средний

9 Critical

CVSS3

7.6 High

CVSS2