Une paire de vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 graves a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans le serveur d’automatisation open source Jenkins qui pourrait conduire \u00e0 l’ex\u00e9cution de code sur des syst\u00e8mes cibl\u00e9s.<\/p>\n
Les d\u00e9fauts, suivis comme CVE-2023-27898<\/a> et CVE-2023-27905<\/a>ont un impact sur le serveur Jenkins et le centre de mise \u00e0 jour, et ont \u00e9t\u00e9 collectivement baptis\u00e9s CorePeste<\/strong> par la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua. Toutes les versions de Jenkins ant\u00e9rieures \u00e0 2.319.2 sont vuln\u00e9rables et exploitables.<\/p>\n “L’exploitation de ces vuln\u00e9rabilit\u00e9s pourrait permettre \u00e0 un attaquant non authentifi\u00e9 d’ex\u00e9cuter du code arbitraire sur le serveur Jenkins de la victime, ce qui pourrait conduire \u00e0 une compromission compl\u00e8te du serveur Jenkins”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Les lacunes sont le r\u00e9sultat de la fa\u00e7on dont Jenkins traite les plugins disponibles sur le Centre de mise \u00e0 jour<\/a>permettant ainsi potentiellement \u00e0 un auteur de menace de t\u00e9l\u00e9charger un plug-in avec une charge utile malveillante et de d\u00e9clencher une attaque de script intersite (XSS).<\/p>\n “Une fois que la victime ouvre le ‘Gestionnaire de plugins disponible<\/a>‘ sur leur serveur Jenkins, le XSS est d\u00e9clench\u00e9, permettant aux attaquants d’ex\u00e9cuter du code arbitraire sur le serveur Jenkins en utilisant le API de la console de scripts<\/a>“, a d\u00e9clar\u00e9 Aqua.<\/p>\n Puisqu’il s’agit \u00e9galement d’un cas de XSS stock\u00e9 dans lequel le code JavaScript est inject\u00e9 dans le serveur, la vuln\u00e9rabilit\u00e9 peut \u00eatre activ\u00e9e sans avoir \u00e0 installer le plugin ou m\u00eame \u00e0 visiter l’URL du plugin en premier lieu.<\/p>\n De mani\u00e8re troublante, les failles pourraient \u00e9galement affecter les serveurs Jenkins auto-h\u00e9berg\u00e9s et \u00eatre exploit\u00e9es m\u00eame dans des sc\u00e9narios o\u00f9 le serveur n’est pas accessible au public sur Internet, car le centre de mise \u00e0 jour public de Jenkins pourrait \u00eatre “inject\u00e9 par des attaquants”.<\/p>\n L’attaque, cependant, repose sur la condition pr\u00e9alable que le plugin malveillant soit compatible avec le serveur Jenkins et soit affich\u00e9 en haut du flux principal sur la page “Available Plugin Manager”.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la fa\u00e7on de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n Cela, a d\u00e9clar\u00e9 Aqua, peut \u00eatre truqu\u00e9 en “t\u00e9l\u00e9chargeant un plugin contenant tous les noms de plugins et les mots-cl\u00e9s populaires int\u00e9gr\u00e9s dans la description”, ou en augmentant artificiellement le nombre de t\u00e9l\u00e9chargements du plugin en soumettant des demandes \u00e0 partir de fausses instances.<\/p>\n Suite \u00e0 la divulgation responsable du 24 janvier 2023, des correctifs ont \u00e9t\u00e9 publi\u00e9s par Jenkins pour Centre de mise \u00e0 jour<\/a> et serveur<\/a>. Il est recommand\u00e9 aux utilisateurs de mettre \u00e0 jour leur serveur Jenkins vers la derni\u00e8re version disponible pour att\u00e9nuer les risques potentiels.<\/p>\n <\/p>\n