Jenkins Plugin Flaw, Saldırganların Yönetici Erişimi Kazanmasına İzin Veriyor

Jenkins’in yakın tarihli bir güvenlik danışmanlığı, birden fazla Jenkins eklentisini etkileyen 24 güvenlik açığını düzelttiklerini bildirdi.

Bu Kusur, 5 Yüksek, 18 Orta ve 1 Düşük önem dereceli güvenlik açığı içerir.

Etkilenen bazı eklentiler için yamalar yayınlandı, diğerleri ise hala geliştirilme aşamasında.

Etkilenen Eklentiler ve Sürümleri

Etkilenen Jenkins eklentilerinin listesi şunları içerir:

• 2.30’a kadar ve dahil olmak üzere Active Directory Eklentisi
• Assembla Auth Eklentisi 1.14’e kadar ve 1.14 dahil
• 1.0.1’e kadar ve 1.0.1 dahil olmak üzere Kıyaslama Değerlendirici Eklentisi
• 5.4.1’e kadar ve 5.4.1 dahil olmak üzere Datadog Eklentisi
• ElasticBox CI Eklentisi 5.0.1’e kadar ve 5.0.1 dahil
• Harici Monitör İş Türü Eklentisi 206.v9a_94ff0b_4a_10’a kadar ve dahil
• 0.0.46’ya kadar ve dahil olmak üzere mabl Eklentisi
• MathWorks Polyspace Eklentisi 1.0.5’e kadar ve 1.0.5 dahil
• OpenShift Oturum Açma Eklentisi 1.1.0.227.v27e08dfb_1a_20’ye kadar ve dahil
• 1.0.16’ya kadar ve 1.0.16 dahil olmak üzere Oracle Bulut Altyapısı Bilgi İşlem Eklentisi
• Orka by MacStadium Eklentisi 1.33’e kadar ve 1.33 dahil
• 0.11’e kadar ve 0.11 dahil olmak üzere boru hattı restFul API Eklentisi
• Yeniden Oluşturucu Eklentisi 320.v5a_0933a_e7d61’e kadar ve dahil
• SAML Tek Oturum Açma(SSO) Eklentisi 2.3.0’a kadar ve 2.3.0 dahil
• Sumologic Yayıncı Eklentisi 2.2.1’e kadar ve 2.2.1 dahil
• 1.2.13’e kadar (1.2.13 dahil) Test Sonuçları Toplayıcı Eklentisi

CVE(ler):

CVE’lerin listesi, önem derecesi ve ilgili etkilenen eklentileri aşağıda belirtildiği gibidir,

Yüksek Derecede Güvenlik Açıkları

CVE-2023-37946: Oturum Sabitleme Güvenlik Açığı

Bu güvenlik açığı, önceki oturumların geçersiz kılınmaması nedeniyle OpenShift Login Plugin’deki hatalı oturum yönetimi nedeniyle ortaya çıkar. Bu, tehdit aktörlerinin sosyal mühendislik teknikleriyle yönetici erişimi elde etmesine izin verebilir.

Bu güvenlik açığı için CVSS Puanı henüz onaylanmadı.

CVE-2023-37957: İşlem Hattında CSRF güvenlik açığı

Bu güvenlik açığı, Siteler Arası İstek Sahteciliği (CSRF) ile sonuçlanan bir HTTP uç noktasına POST isteklerinin olmaması nedeniyle oluşur.

Bir saldırgan, saldırgan tarafından belirtilen bir URL ile Jenkins’e bağlanabilir ve bu da yeni oluşturulan bir JCLI belirteciyle bir kurbanın kimliğine bürünmesine neden olur. Bu güvenlik açığı için CVSS Puanı henüz onaylanmadı.

CVE-2023-37952, CVE-2023-37953: CSRF Güvenlik Açığı ve Eksik İzin

Birkaç HTTP uç noktası, tehdit aktörlerinin saldırgan tarafından belirtilen URL ve başka bir yöntemle toplanan kimlik bilgisi kimlikleri aracılığıyla Genel/Okuma izinleriyle Jenkins’e bağlantı elde etmesine izin veren izin kontrolleri gerçekleştirmediğinden bir güvenlik açığı bulunmaktadır.

Buna ek olarak, bu uç noktalar, Siteler Arası İstek Sahteciliği ile sonuçlanan POST istekleri gerektirmez. Bu güvenlik açıkları için CVSS Puanı henüz onaylanmadı.

CVE-2023-37942: Harici Monitörde XXE güvenlik açığı

Bu güvenlik açığı, Harici XML Varlığı (XXE) saldırılarını önleyen XML ayrıştırıcısının yanlış yapılandırılması nedeniyle oluşur.

Bu, tehdit aktörlerinin hazırlanmış bir HTTP isteğini, hassas bilgilerin Jenkins Denetleyicisinden veya Sunucu Tarafı İstek Sahtekarlığından (SSRF) çıkarılmasıyla sonuçlanan XML verileriyle ayrıştırmasına olanak tanır.

Bu güvenlik açığı için CVSS Puanı henüz onaylanmadı.

Sabit Eklentiler

Jenkins, etkilenen eklentilerden bazılarını düzeltti;

• Active Directory Eklentisi 2.30.1 sürümüne güncellenmelidir
• Datadog Eklentisi 5.4.2 sürümüne güncellenmelidir
• Harici Monitör İş Türü Eklentisi, 207.v98a_a_37a_85525 sürümüne güncellenmelidir
• mabl Eklentisi 0.0.47 sürümüne güncellenmelidir
• OpenShift Oturum Açma Eklentisi, 1.1.0.230.v5d7030b_f5432 sürümüne güncellenmelidir
• Oracle Bulut Altyapısı Bilgi İşlem Eklentisi, 1.0.17 sürümüne güncellenmelidir
• Orka by MacStadium Eklentisi 1.34 sürümüne güncellenmelidir
• SAML Tek Oturum Açma(SSO) Eklentisi 2.3.1 sürümüne güncellenmelidir

Düzeltilmemiş Eklentiler

Düzeltmelerin mevcut olmadığı eklentiler şunları içerir:

• Kimlik Doğrulama Eklentisini Birleştirin
• Kıyaslama Değerlendirici Eklentisi
• ElasticBox CI Eklentisi
• MathWorks Polyspace Eklentisi
• Pipeline restFul API Eklentisi
• Yeniden Oluşturucu Eklentisi
• Sumologic Yayıncı Eklentisi
• Test Sonuçları Toplayıcı Eklentisi

Bu Jenkins eklentilerinin kullanıcılarına, sistemlere yetkisiz erişimi önlemek için en son sürümlere yükseltmeleri önerilir. Diğer eklentiler hala düzeltilmektedir ve yamalar henüz kullanıma sunulmamıştır.

Tüm bu güvenlik açıkları hakkında daha fazla ayrıntı Jenkins Güvenlik Danışma Sayfasında bulunabilir.