Jenkins ավտոմատացման սերվերում բացահայտվել են անվտանգության մի քանի խոցելի դրույթներ, որոնք կարող են հանգեցնել թիրախային համակարգերում կոդի կիրառման:
Թերությունները, որոնք դիտարկվում են որպես CVE-2023-27898 և CVE-2023-27905, ազդում են Jenkins սերվերի և թարմացման կենտրոնի աշխատանքի վրա: Դրանք համատեղ անվանակոչվել են CorePlague: 2.319.2 տարբերակից առաջ Jenkins-ի մյուս տարբերակները համարվում են առավել խոցելի:
«Համակարգի խոցելիությունը կարող է հարձակվողի համար հնարավորություն ստեղծել կամայական ծածկագիր գործադրման, ինչն էլ կարող է հանգեցնել Jenkins սերվերի ամբողջական վնասմանը», – նշվել է ընկերության կողմից տարածված զեկույցում, որը հրապարակվել է The Hacker News հարթակում:
Երբ տուժողը իր Jenkins սերվերում բաց է անում հասանելի plugin-երի վահանակը, XSS-ն ակամայից գործարկվում է, ինչն էլ հարձակվողներին թույլ է տալիս կամայական կոդ գործարկել Jenkins սերվերում՝ օգտագործելով Script Console API-ը:
Քանի որ այն նաև Stored XSS է խոցելիությունը կարող է ակտիվացվել առանց որևէ plugin-ի մասնակցության:
Իհարկե ցավալի է նշել, որ թերությունները կարող են ազդել նաև ինքնակառավարվող Jenkins սերվերների վրա և օգտագործվել նույնիսկ այն դեպքում, երբ սերվերը հասանելի չէ առցանց տիրույթում:
Նման խարդախ հավելվածը համատեղելի է Jenkins սերվերի հետ և հայտնվում է «հասանելի plugin-երի կառավարման» էջի հիմնական էջում:
