CVE-2024-23897

Adatlap

CVE: CVE-2024-23897
EUVD: EUVD-2024-0270
GHSA: GHSA-6f9g-cxwr-q5jr
Eszköztípus: IT
Publikálva: 2024. 01. 24. 18:52
Frissítve: 2025. 10. 22. 01:05
Súlyosság: Kritikus
Prioritás: Riasztás
CWE: CWE-27

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	9,8	Kritikus	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Hálózatról kihasználható · Alacsony komplexitás · Nem szükséges jogosultság · Nem szükséges felhasználói interakció

Eredeti leírás

Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.

Érintett termékek

Jenkins Jenkins Project Verziók: 0 – < 1.606; 2.442 – < *; 2.426.3 – < 2.426.*; 2.440.1 – < 2.440.*
jenkins jenkins Verziók: 0 – < 1.606; 2.442 – < *; 2.426.3 – < 2.427; 2.440.1 – < 2.441

Prioritás

Szint: Riasztás
Teendő: Azonnali intézkedés javasolt: a szoftvert 24 órán belül frissítse. Ha a frissítés nem telepíthető azonnal, alkalmazza a gyártó által javasolt kerülő megoldást, és a javításig fokozottan figyelje a sérülékenység kihasználására irányuló kísérleteket.

Kihasználási státusz

EPSS: 100,00%
Kihasználtság: Aktív
Kihasználás óta: 2024. 08. 19.
Automatizálhatóság: Igen
Technikai hatás: Teljes

Javítás

Javított verzió: 2.442, 2.426.3, 2.440.1
Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között