Jenkins Project Jenkins: Deserialization of Untrusted Data

In Jenkins 2.567 and earlier, LTS 2.555.2 and earlier, it is possible for attackers to have Jenkins deserialize arbitrary types defined in Jenkins core or plugins from an attacker-controlled `config.xml` submission in a way that allows them to handle HTTP requests afterwards. This can be used to impersonate any user and send HTTP requests on their behalf, up to and including use of the Script Console to run arbitrary code, or to read arbitrary files from the Jenkins controller.

Ein Angreifer kann mehrere Schwachstellen in Jenkins ausnutzen, um beliebigen Programmcode auszuführen, sich als Benutzer auszugeben, Benutzer auf vom Angreifer kontrollierte Domänen umzuleiten, Sicherheitsmaßnahmen zu umgehen, Daten offenzulegen und zu manipulieren sowie Cross-Site-Scripting-Angriffe durchzuführen.

Magas

Jenkins 2.567以前およびLTS 2.555.2以前のバージョンにおいて、攻撃者はJenkinsコアやプラグインで定義された任意の型を、攻撃者が制御する`config.xml`の送信から逆シリアライズできるため、その後のHTTPリクエストを処理可能になります。これを利用して、任意のユーザーになりすまし、そのユーザーを代行してHTTPリクエストを送信することができ、またスクリプトコンソールを使用して任意のコードを実行したり、Jenkinsコントローラーから任意のファイルを読み取ったりすることも可能です。