Podatności Jenkins

Wiele podatności typu open redirect w Jenkins przed wersją 2.3 oraz LTS przed 1.651.2 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe, co może prowadzić do ataków phishingowych.

Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.

Jenkins w wersjach przed 1.640 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed CSRF za pomocą nieokreślonych wektorów.

W podatności CVE-2015-7537 występuje luka CSRF w Jenkins przed wersją 1.640 oraz LTS przed wersją 1.625.2, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów poprzez nieokreślone wektory związane z metodą HTTP GET.

Jenkins w wersjach przed 1.638 oraz LTS przed 1.625.2 umożliwia atakującym obejście zamierzonych ograniczeń dostępu z slave do mastera poprzez wykorzystanie JNLP slave.

Jenkins w wersjach przed 1.551 oraz LTS przed 1.532.2 umożliwia zdalnym atakującym przeprowadzanie ataków clickjacking za pomocą nieokreślonych wektorów.

Jenkins w wersjach przed 1.583 oraz LTS przed 1.565.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet wysłany do kanału CLI.

W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.

W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.

W Jenkinsie 1.498 wprowadzono monitor re-key admin, który re-encryptował wszystkie sekrety w JENKINS_HOME nowym kluczem, tworząc jednocześnie katalog kopii zapasowych ze starymi sekretami i użytym kluczem. Te kopie zapasowe były dostępne dla wszystkich użytkowników i nie zostały usunięte po ich utworzeniu.

Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 nie stosuje algorytmu o stałym czasie do weryfikacji tokenów CSRF, co ułatwia zdalnym atakującym obejście mechanizmu ochrony CSRF za pomocą ataku brute-force.

Jenkins w wersji 2.587 i starszych oraz LTS 2.580.1 i starszych nieprawidłowo identyfikuje ścieżki plików przy próbie path traversal w przeglądarce plików dla obszarów roboczych i $JENKINS_HOME/userContent/. Atakujący z uprawnieniem Overall/Read może uzyskać nazwy, rozmiary i czasy modyfikacji plików w $JENKINS_HOME, a atakujący z uprawnieniem Item/Workspace może uzyskać nazwy zadań mających obszar roboczy na tym samym agencie.

Brak sprawdzenia uprawnień w Jenkins w wersji 2.587 i starszych oraz LTS 2.580.1 i starszych pozwala atakującym z uprawnieniem Overall/Read na uzyskanie nazwy serwera, portu, nazwy użytkownika oraz listy hostów bez proxy skonfigurowanego serwera proxy HTTP.

Jenkins w wersji 2.587 i starszych oraz LTS 2.580.1 i starszych nie egzekwuje konsekwentnie ograniczenia deserializacji obiektów typów oznaczonych jako przechowujące konfigurację w niezależnych plikach konfiguracji najwyższego poziomu jako wartości zagnieżdżonych. Pozwala to atakującym obejść sprawdzenie elementu głównego i potencjalnie wstrzyknąć obiekty zagnieżdżone.

Jenkins w wersji 2.587 i starszych oraz LTS 2.580.1 i starszych nie escapuje tekstu wyświetlanego w podpowiedziach pozycji menu przepełnienia paska nawigacyjnego. Powoduje to podatność na przechowywany cross-site scripting (XSS) możliwą do wykorzystania przez atakujących z uprawnieniem Overall/Read.

Jenkins w wersji 2.587 i starszych oraz LTS 2.580.1 i starszych pozwala agentom na przesyłanie do kontrolera wyjątków implementujących interfejs Stapler HttpResponse. Powoduje to podatność na cross-site scripting (XSS) możliwą do wykorzystania przez atakujących kontrolujących procesy agentów.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych oblicza na agencie URL linku wyświetlanego w przeglądarce obszaru roboczego dla każdego pliku i katalogu. Prowadzi to do podatności cross-site scripting (XSS), którą mogą wykorzystać atakujący kontrolujący procesy agenta.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych pozwala atakującym z uprawnieniem Overall/Read wywołać ostrzeżenia w funkcji "Manage Old Data", które administrator może zaakceptować, co umożliwia wstrzyknięcie danych kontrolowanych przez atakującego i nadpisanie informacji o koncie użytkownika, w tym haseł logowania.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych pozwala żądaniom uwierzytelnionym za pomocą HTTP Basic authentication, w tym z tokenem API, uzyskać ciasteczko "remember me". Umożliwia to atakującym, którzy pozyskali token API użytkownika, zachowanie dostępu do Jenkinsa za pomocą ciasteczka "remember me" po unieważnieniu lub wygaśnięciu tokena API.

W Jenkinsie 2.587 i starszych oraz LTS 2.580.1 i starszych endpoint HTTP do tworzenia pierwszego konta użytkownika nie sprawdza, czy kreator konfiguracji został ukończony. Powoduje to warunek wyścigu pozwalający nieuwierzytelnionym atakującym utworzyć konto administratora w trakcie zastępowania początkowego konta użytkownika.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych sprawdza dowiązania symboliczne w ścieżce rozpakowywanego pliku tylko przed utworzeniem katalogów nadrzędnych, a nie bezpośrednio przed zapisem. Dodatkowo pozwala dowiązaniom symbolicznym w artefaktach zastępować istniejące pliki lub puste katalogi, co umożliwia atakującym z uprawnieniem Item/Configure zapis plików w dowolnych lokalizacjach systemu plików kontrolera Jenkinsa.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych udostępnia endpoint HTTP, który ładuje agentów po nazwie bez walidacji tej nazwy. Pozwala to atakującym z uprawnieniem Overall/Read załadować dowolny plik config.xml z systemu plików kontrolera jako konfigurację agenta oraz nadpisać dowolny plik config.xml przy zapisie tego agenta, co może prowadzić do wykonania dowolnego kodu.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych podąża za dowiązaniami symbolicznymi podczas kopiowania katalogu elementu, który jest zmieniany nazwą. Pozwala to atakującym z uprawnieniami Item/Create i Item/Configure odczytać dowolne pliki w systemie plików kontrolera Jenkinsa.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych konwertuje polecenia uruchamiania w starszych konfiguracjach agentów na launchery dostarczane przez Command Agent Launcher Plugin bez sprawdzenia, czy zostały zatwierdzone przez administratora. Pozwala to atakującym z uprawnieniem Agent/Configure wykonać dowolny kod w kontekście JVM kontrolera Jenkinsa.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych nie ogranicza typów elementów w kolekcjach po deserializacji. Pozwala to atakującym z dostępem do endpointów API POST config.xml przesyłać spreparowane pliki config.xml, co może prowadzić m.in. do przechowywanego cross-site scripting (XSS).

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych nie stosuje filtra deserializacji do klas wskazywanych przez atrybut `resolves-to` podczas deserializacji XStream. Może to umożliwić obejście filtra i deserializację niebezpiecznych klas.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, polecenie CLI build nie sprawdza uprawnienia Item/Cancel przy użyciu flagi -s do anulowania budynku uruchomionego w celu oczekiwania na zakończenie, co pozwala atakującym z uprawnieniem Item/Build na anulowanie budynków uruchomionych przez innych użytkowników.

Brak sprawdzenia uprawnień w Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych pozwala atakującym z uprawnieniem Item/Read na co najmniej jednym zadaniu na odczytanie nazw i wartości parametrów budynków zadań, do których nie mają dostępu.

Jenkins 2.579 i wcześniejsze oraz LTS 2.568.2 i wcześniejsze nie escapują kluczy map podczas serializacji obiektów do JSON i Pythona przez REST API. Pozwala to atakującym kontrolującym nazwy właściwości map na wstrzyknięcie dowolnych pól do odpowiedzi API.

Jenkins 2.421 do 2.579 (włącznie) oraz LTS 2.426.1 do 2.568.2 (włącznie) nie wykonuje poprawnie kontroli uprawnień na stronie konfiguracji wyglądu (Appearance). Pozwala to atakującym z uprawnieniem Overall/Manage na modyfikowanie opcji konfiguracji wyglądu, do których nie powinni mieć dostępu.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Jenkins nie rotuje sesji, gdy użytkownik jest uwierzytelniany przez ciasteczko "remember me". Pozwala to atakującym, którzy mogą serwować treści na tej samej stronie co Jenkins, ustawić znane ciasteczko sesji w przeglądarce ofiary, co po uwierzytelnieniu ofiary przez ciasteczko "remember me" daje atakującemu dostęp do Jenkinsa jako ten użytkownik.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, punkty końcowe REST API i CLI do aktualizacji konfiguracji agenta nie zapobiegają nadpisaniu innego agenta przez przesłaną konfigurację, jeśli w dokumencie XML podano nazwę tego agenta. Pozwala to atakującym z uprawnieniem Agent/Configure na jednym agencie przejąć innego agenta, uzyskując kontrolę nad jego konfiguracją oraz dostęp do jego sekretu agenta przychodzącego i zmiennych środowiskowych.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, pola przejściowe (transient) nie mogą być wykluczone z deserializacji. Pozwala to atakującym, którzy mogą przesyłać aktualizacje konfiguracji, na określenie wartości pól przejściowych, które będą deserializowane, a wpływ zależy od sposobu użycia tych pól.

W Staplerze w wersjach od 1839.ved17667b_a_eb_5 do 2107.v8dfcb_e8ed317 (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.447 do 2.579 oraz LTS 2.452.1 do 2.568.2, punkt końcowy HTTP serwujący dynamicznie generowane zasoby JavaScript osadza token CSRF (crumb) użytkownika jako literał ciągu znaków. Pozwala to atakującym kontrolującym stronę na tym samym hoście co Jenkins na uzyskanie ważnego crumb dla sesji ofiary i wykonywanie działań w jej imieniu.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, przeglądarka logów systemowych nie escapuje metadanych rekordów logów (źródło, poziom i znacznik czasu), co prowadzi do podatności na przechowywany XSS. Atakujący kontrolujący procesy agentów mogą wykorzystać tę podatność.

W Staplerze 2107.v8dfcb_e8ed317 i wcześniejszych (z wyjątkiem 2088.2093.vd7c3e58008a_6), który jest częścią Jenkinsa 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, Stapler nie ogranicza typów obiektów, które mogą być tworzone przez wiązanie danych z formularzy, do typów zgodnych z oczekiwanym typem pola. Pozwala to atakującym z uprawnieniem Overall/Read na tworzenie typów związanych z konfiguracją, dla których to pole nie było przeznaczone.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty użytkowników mogą pojawiać się jako zagnieżdżone wartości pól w innych deserializowanych obiektach XML. Pozwala to atakującym z uprawnieniem Overall/Read na tworzenie obiektów użytkowników poprzez przesłanie spreparowanego XML.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty typów oznaczonych jako przechowujące konfigurację w niezależnych plikach konfiguracyjnych (takich jak globalna konfiguracja i zadania) mogą pojawiać się jako zagnieżdżone wartości pól w dokumentach `config.xml` przesłanych przez użytkownika, a następnie obsługiwać żądania HTTP przez Stapler, co prowadzi do zdalnego wykonania kodu.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie ogranicza typów obiektów, które mogą być tworzone w ramach konfiguracji strategii nazewnictwa projektów. Atakujący z uprawnieniem Overall/Manage może tworzyć dowolne typy związane z konfiguracją, w tym te przeznaczone tylko dla administratorów.

Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie obsługuje spójnie wielkości liter w nazwach użytkowników i grup. Atakujący, którzy mogą tworzyć nowych użytkowników lub grupy o nazwach różniących się tylko wielkością liter, mogą podszywać się pod innych użytkowników lub otrzymać ich uprawnienia w niektórych sytuacjach.

Jenkins 2.575 i wcześniejsze oraz LTS 2.568.1 i wcześniejsze nieprawidłowo identyfikują ścieżki plików podczas próby path traversal w nazwach parametrów plików, co pozwala atakującym z uprawnieniami Item/Configure i Item/Build na zapisywanie plików w dowolnych lokalizacjach w systemie plików kontrolera.

Jenkins 2.575 i wcześniejsze oraz LTS 2.568.1 i wcześniejsze niebezpiecznie obsługują dowiązania symboliczne z efektywnie pustymi nazwami podczas rozpakowywania archiwów `.tar` i `.tar.gz`, co pozwala atakującym kontrolującym procesy agenta na dostarczenie spreparowanych archiwów do kontrolera w celu zapisu plików w dowolnych lokalizacjach w systemie plików, ograniczonych jedynie uprawnieniami dostępu do systemu plików użytkownika uruchamiającego Jenkins.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nie szyfruje sekretów z przesyłanych formularzy POST config.xml przed ich zapisaniem w plikach konfiguracyjnych zadań. Sekrety są przechowywane w plikach config.xml w formie niezaszyfrowanej, co umożliwia ich przeglądanie użytkownikom z uprawnieniami Item/Extended Read lub dostępem do systemu plików kontrolera Jenkins.

Podatność XSS w Jenkinsie pozwala atakującym z uprawnieniami Agent/Configure na wstrzyknięcie złośliwego skryptu przez nieuciekający opis przyczyny offline agenta ustawiany przez API POST config.xml. Dotyczy to wersji Jenkins 2.483 do 2.567 oraz LTS 2.492.1 do 2.555.2.

Jenkins w wersjach 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych nie weryfikuje bezpieczeństwa parametru 'from' w ramach bezpieczeństwa 'Delegate to servlet container', co umożliwia atakującym przeprowadzanie ataków phishingowych poprzez przekierowywanie użytkowników na domeny kontrolowane przez atakujących.

Brak kontroli uprawnień w Jenkins 2.567 i wcześniejszych wersjach, LTS 2.555.2 i wcześniejszych, umożliwia atakującym z uprawnieniami Overall/Read określenie skonfigurowanej strefy czasowej innych użytkowników oraz enumerację nazw widoków innych użytkowników w sekcji 'Moje widoki'.

Brak weryfikacji uprawnień w Jenkins 2.567 i wcześniejszych, LTS 2.555.2 i wcześniejszych, umożliwia atakującym z uprawnieniami Item/Cancel, ale bez uprawnień Item/Read, anulowanie elementów w kolejce, do których nie mają dostępu.