CVE-2024-23897
Publiée le 2024-01-24 · Dernière modification le 2026-06-17 KEV — activement exploitée
Les contrôleurs Jenkins utilisant la version 2.441 ou antérieure (LTS 2.426.2 ou antérieure) sont sensibles à une lecture arbitraire de fichiers. Un attaquant distant non authentifié peut utiliser l'analyseur de commandes CLI pour lire des fichiers sensibles du système de fichiers du serveur, tels que des fichiers de configuration ou des identifiants. Cette exploitation est simple à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, ni privilèges particuliers.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
Jenkins Command Line Interface (CLI) Path Traversal Vulnerability — Jenkins Command Line Interface (CLI) contains a path traversal vulnerability that allows attackers limited read access to certain files, which can lead to code execution. Ajoutée au catalogue KEV de la CISA le 2024-08-19. Date limite de correction (agences fédérales américaines) : 2024-09-09. Utilisée dans des campagnes de ransomware.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- jenkinsci-cert@googlegroups.com
- jenkinsci-cert@googlegroups.com
- jenkinsci-cert@googlegroups.com
- jenkinsci-cert@googlegroups.com
- jenkinsci-cert@googlegroups.com
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- 134c704f-9b21-4f2e-91b3-4a467353bcc0
Description officielle du NVD (en anglais)
Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.