Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Jenkins weekly a LTS opravují 2 zranitelnosti

Jenkins opravuje 2 zranitelnosti verzí 2.471 v produktu Jenkins weekly a verzemi 2.452.4 a 2.462.1 v produktu Jenkins LTS [1].

Jenkins - path traversal and RCE (CVE-2024-43044)
CVSS 8.3 (High)

Útočníkovi je umožněno přistupovat k libovolným souborům typu JAR ze souborového systému stroje. To může vést ke vzdálenému spuštění kódu neautentizovaným útočníkem v případě podstrčení škodlivého souboru [1].

Zranitelnost se nachází v produktech:

  • Jenkins weekly; <2.471;
  • Jenkins LTS; <2.452.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2024-43044 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 8. 2024.

Jenkins - unauthorized access (CVE-2024-43045)
CVSS 5.4 (Medium)

Autentizovanému vzdálenému útočníkovi s oprávněním Overall/Read je umožněno neoprávněně zobrazovat pohledy ostatních uživatelů a útočníkovi s oprávněním View/Configure a View/Delete je umožněno tyto pohledy i měnit [1].

Zranitelnost se nachází v produktech:

  • Jenkins weekly; <2.471;
  • Jenkins LTS; <2.452.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Více informací:

Zranitelnost byla veřejně oznámena 7. 8. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 8. 8. 2024.

CESNET, z.s.p.o. Logo