В Jenkins 2.567 и ранее, LTS 2.555.2 и ранее, злоумышленники могут иметь Jenkins, чтобы Jenkins дезериализировал произвольные типы, определ…
В Jenkins 2.567 и ранее, LTS 2.555.2 и ранее, злоумышленники могут иметь Jenkins, чтобы Jenkins дезериализировал произвольные типы, определенные в ядре Jenkins или плагинах из контролируемого злоумышленником `config.xml` представления таким образом, чтобы они могли обрабатывать HTTP-запросы после этого. Это может быть использовано для выдачи себя за любого пользователя и отправки HTTP-запросов от их имени, вплоть до использования консоли Script для запуска произвольного кода или для чтения произвольных файлов с контроллера Jenkins.
Продукт десериализует ненадёжные данные без достаточной проверки того, что полученные данные окажутся допустимыми.
https://cwe.mitre.org/data/definitions/502.html →Открыть в коллекции CWE →Злоумышленник пытается эксплуатировать приложение путём внедрения дополнительного вредоносного содержимого в процессе обработки сериализованных объектов. Разработчики используют сериализацию для преобразования данных или состояния в статичный двоичный формат с целью сохранения на диск или передачи по сети. Впоследствии эти объекты десериализуются для восстановления данных/состояния. Внедряя некорректный объект в уязвимое приложение, злоумышленник потенциально может скомпрометировать его, манипулируя процессом десериализации. Это может привести к ряду нежелательных последствий, включая удалённое выполнение кода.
https://capec.mitre.org/data/definitions/586.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| Отслеживается | ||
| jenkins | * | Отслеживается |