Katalog podatności CVE

Jenkins w wersji 2.587 i starszych oraz LTS 2.580.1 i starszych nie escapuje tekstu wyświetlanego w podpowiedziach pozycji menu przepełnienia paska nawigacyjnego. Powoduje to podatność na przechowywany cross-site scripting (XSS) możliwą do wykorzystania przez atakujących z uprawnieniem Overall/Read.

Jenkins w wersji 2.587 i starszych oraz LTS 2.580.1 i starszych pozwala agentom na przesyłanie do kontrolera wyjątków implementujących interfejs Stapler HttpResponse. Powoduje to podatność na cross-site scripting (XSS) możliwą do wykorzystania przez atakujących kontrolujących procesy agentów.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych oblicza na agencie URL linku wyświetlanego w przeglądarce obszaru roboczego dla każdego pliku i katalogu. Prowadzi to do podatności cross-site scripting (XSS), którą mogą wykorzystać atakujący kontrolujący procesy agenta.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych pozwala atakującym z uprawnieniem Overall/Read wywołać ostrzeżenia w funkcji "Manage Old Data", które administrator może zaakceptować, co umożliwia wstrzyknięcie danych kontrolowanych przez atakującego i nadpisanie informacji o koncie użytkownika, w tym haseł logowania.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych pozwala żądaniom uwierzytelnionym za pomocą HTTP Basic authentication, w tym z tokenem API, uzyskać ciasteczko "remember me". Umożliwia to atakującym, którzy pozyskali token API użytkownika, zachowanie dostępu do Jenkinsa za pomocą ciasteczka "remember me" po unieważnieniu lub wygaśnięciu tokena API.

W Jenkinsie 2.587 i starszych oraz LTS 2.580.1 i starszych endpoint HTTP do tworzenia pierwszego konta użytkownika nie sprawdza, czy kreator konfiguracji został ukończony. Powoduje to warunek wyścigu pozwalający nieuwierzytelnionym atakującym utworzyć konto administratora w trakcie zastępowania początkowego konta użytkownika.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych sprawdza dowiązania symboliczne w ścieżce rozpakowywanego pliku tylko przed utworzeniem katalogów nadrzędnych, a nie bezpośrednio przed zapisem. Dodatkowo pozwala dowiązaniom symbolicznym w artefaktach zastępować istniejące pliki lub puste katalogi, co umożliwia atakującym z uprawnieniem Item/Configure zapis plików w dowolnych lokalizacjach systemu plików kontrolera Jenkinsa.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych udostępnia endpoint HTTP, który ładuje agentów po nazwie bez walidacji tej nazwy. Pozwala to atakującym z uprawnieniem Overall/Read załadować dowolny plik config.xml z systemu plików kontrolera jako konfigurację agenta oraz nadpisać dowolny plik config.xml przy zapisie tego agenta, co może prowadzić do wykonania dowolnego kodu.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych podąża za dowiązaniami symbolicznymi podczas kopiowania katalogu elementu, który jest zmieniany nazwą. Pozwala to atakującym z uprawnieniami Item/Create i Item/Configure odczytać dowolne pliki w systemie plików kontrolera Jenkinsa.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych konwertuje polecenia uruchamiania w starszych konfiguracjach agentów na launchery dostarczane przez Command Agent Launcher Plugin bez sprawdzenia, czy zostały zatwierdzone przez administratora. Pozwala to atakującym z uprawnieniem Agent/Configure wykonać dowolny kod w kontekście JVM kontrolera Jenkinsa.

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych nie ogranicza typów elementów w kolekcjach po deserializacji. Pozwala to atakującym z dostępem do endpointów API POST config.xml przesyłać spreparowane pliki config.xml, co może prowadzić m.in. do przechowywanego cross-site scripting (XSS).

Jenkins w wersjach 2.587 i starszych oraz LTS 2.580.1 i starszych nie stosuje filtra deserializacji do klas wskazywanych przez atrybut `resolves-to` podczas deserializacji XStream. Może to umożliwić obejście filtra i deserializację niebezpiecznych klas.

Podatność w Apache Kafka Connect dotyczy endpointu REST API /connector-plugins/{connector-type}/config/validate, który służy do walidacji konfiguracji connectorów. Atakujący z dostępem do tego endpointu może wykorzystać zainstalowane Configuration Providers do ujawnienia wartości wrażliwych konfiguracji w postaci jawnej, mimo że powinny być one rozwiązywane dopiero w czasie działania.

Apache Kafka Connect zawiera podatność polegającą na obejściu uwierzytelniania w administracyjnym API REST, gdy właściwość admin.listeners jest skonfigurowana jako oddzielny listener od głównego listeners. Rozszerzenia REST zdefiniowane w rest.extension.classes (np. BasicAuthSecurityRestExtension) nie są rejestrowane ani stosowane do konfiguracji zasobów administracyjnych, przez co endpoint /admin/loggers akceptuje nieuwierzytelnione żądania odczytu i zapisu.

Podatność w Apache Kafka pozwala uwierzytelnionemu producentowi z prawem zapisu do tematu na zadeklarowanie w skompresowanym rekordzie rozmiaru ciała do około 2 GiB, co powoduje próbę alokacji bufora i błąd OutOfMemoryError. Może to doprowadzić do zatrzymania wątków obsługi żądań brokera, konsumentów, a w przypadku wątku log-cleaner do trwałego zatrzymania kompakcji logów na brokerze.

Uwierzytelniony podmiot (principal) Kafki bez żadnych uprawnień autoryzacyjnych może zmusić brokera do odczytania pliku lub zmiennej środowiskowej z hosta brokera i zwrócenia ich zawartości. Żądanie IncrementalAlterConfigs lub AlterConfigs skierowane na zasób BROKER trafia do walidacji konfiguracji przed sprawdzeniem autoryzacji, a rozwiązywanie zmiennych konfiguracyjnych (${file:...}, ${env:...}) omija listę dozwolonych dostawców konfiguracji wprowadzoną jako mitygacja CVE-2024-31141.

W kilku ścieżkach deserializacji Apache Kafka pole rozmiaru lub liczby elementów jest odczytywane z danych wejściowych i używane bezpośrednio do alokacji tablicy, kolekcji lub bufora bajtów, bez sprawdzenia dostępnych danych. Mały spreparowany rekord może zadeklarować bardzo duży rozmiar i wymusić alokację wielu gigabajtów, powodując OutOfMemoryError. Dotyczy to m.in. ProcessorRecordContext, ChangedDeserializer, CombinedKeySchema, ProcessorMetadata i AssignmentInfo w Kafka Streams oraz ListDeserializer w bibliotece klienta.

Podatność w Kafka Streams dotyczy przepełnienia arytmetycznego przy obliczaniu czasu następnej operacji punctuation. Rekord z timestampem bliskim Long.MAX_VALUE powoduje przepełnienie do wartości ujemnej, co prowadzi do nieskończonej pętli w PunctuationQueue i zablokowania StreamThread.

Podatność w Apache Kafka dotyczy czytników generowanych dla elastycznych wersji protokołu, które odczytują liczbę pól tagowanych zadeklarowaną przez nadawcę i tworzą obiekt RawTaggedField dla każdego nieznanego pola. Liczba ta nie była ograniczona rozmiarem bufora ani stałym limitem, co pozwala na amplifikację — niewielkie żądanie może zadeklarować dziesiątki milionów pól i wymusić tyle samo alokacji obiektów, wyczerpując stertę brokera lub powodując pauzy GC. Nagłówek elastycznego żądania jest parsowany przed autoryzacją, więc atak może nastąpić przed uwierzytelnieniem, bez wymaganych ACL ani limitów.

Podatność w Apache Kafka polega na tym, że generowane czytniki protokołu wstępnie alokują kolekcję na podstawie liczby elementów zadeklarowanej przez nadawcę, sprawdzanej tylko względem pozostałych bajtów bufora (zakładając ok. 1 bajt na element). Dla tablic z kluczem czytnik alokuje kolekcję o pojemności (2 * liczba + 1), więc żądanie o rozmiarze kilkudziesięciu MB może wymusić alokację sterty wielokrotnie większą, zanim odczytany zostanie jakikolwiek element. Problem dotyczy wszystkich typów API Kafki z polem tablicowym.