To Jenkins διορθώνει κρίσιμες ευπάθειες σε server και plugins
secnews.gr
IT Security News, Gadgets, Tweaks for Geeks and More
To Jenkins διορθώνει κρίσιμες ευπάθειες σε server και plugins
https://www.secnews.gr/623309/jenkins-diorthonei-krisimes-efpatheies-server-plugins/
Oct 3rd 2024, 17:53
Το εργαλείο αυτοματισμού CI/CD ανοιχτού κώδικα Jenkins, κυκλοφόρησε ενημερώσεις κώδικα για πολλαπλές ευπάθειες υψηλής και μεσαίας σοβαρότητας στον server και σε αρκετά plugins.
Δείτε επίσης: Chrome: Ευπάθειες επιτρέπουν σε χάκερς να εκτελούν αυθαίρετο κώδικα
Κυκλοφόρησαν patches για δύο ευπάθειες μέσης σοβαρότητας στο Jenkins, ένα που οδηγεί στην έκθεση μυστικών πολλών γραμμών και ένα άλλο που οδηγεί σε παράκαμψη περιορισμού δημιουργίας.
Το πρώτο ζήτημα, που παρακολουθείται ως CVE-2024-47803, υπάρχει επειδή το "Jenkins 2.478 και παλαιότερες εκδόσεις, το LTS 2.462.2 και παλαιότερες εκδόσεις δεν διαγράφουν μυστικές τιμές πολλών γραμμών σε μηνύματα σφάλματος που δημιουργούνται για υποβολές φόρμας που περιλαμβάνουν το πεδίο φόρμας secretTextarea", σύμφωνα με ένα δελτίο ασφαλείας Jenkins.
Αυτό θα μπορούσε να οδηγήσει σε αποκάλυψη μυστικών πολλών γραμμών σε μηνύματα σφάλματος που υπάρχουν στα αρχεία καταγραφής συστήματος και αντιμετωπίστηκε στις εκδόσεις Jenkins 2.479 και LTS 2.462.3 με επεξεργασία αυτών των μυστικών.
To Jenkins ανακοίνωσε επίσης ενημερώσεις κώδικα για το CVE-2024-47804, μία ευπάθεια που επηρεάζει τη λειτουργικότητα δημιουργίας στοιχείων του διακομιστή αυτοματισμού ανάπτυξης λογισμικού.
Δείτε ακόμα: Ευπάθειες στα Small Business Routers της Cisco επιτρέπουν απομακρυσμένη εκμετάλλευση
Ενώ το Jenkins μπορεί να ρυθμιστεί ώστε να απαγορεύει τη δημιουργία συγκεκριμένων τύπων στοιχείων, εάν η δημιουργία επιχειρείται χρησιμοποιώντας το Jenkins CLI ή το REST API και ένας από τους δύο συγκεκριμένους ελέγχους αποτύχει, το στοιχείο θα δημιουργηθεί στη μνήμη και θα διαγραφεί από το δίσκο.
Κυκλοφόρησαν επίσης ενημερώσεις κώδικα για δύο ευπάθειες υψηλής σοβαρότητας στο OpenId Connect Authentication plugin και ένα ελάττωμα μέσης σοβαρότητας στα Credentials plugins.
Οι ευπάθειες ελέγχου ταυτότητας OpenId Connect — CVE-2024-47806 και CVE-2024-47807 — υπάρχουν επειδή το plugin αποτυγχάνει να ελέγξει εάν ένα διακριτικό εκδόθηκε για τον σωστό πελάτη και την ταυτότητα του αρχικού εκδότη, κάτι που θα μπορούσε να επιτρέψει στους εισβολείς να αποκτήσουν πρόσβαση διαχειριστή στο Jenkins.
Γνωστό ως CVE-2024-47805, το ζήτημα των Credentials plugins υπάρχει επειδή οι κρυπτογραφημένες τιμές των διαπιστευτηρίων που χρησιμοποιούν τον τύπο SecretBytes δεν διαγράφονται κατά την πρόσβαση στο config.xml μέσω REST API ή CLI, επιτρέποντας στους εισβολείς με δικαιώματα ανάγνωσης στοιχείων/εκτεταμένων να δουν αυτές τις κρυπτογραφημένες τιμές.
Δείτε επίσης: DrayTek routers: Διόρθωση ευπαθειών σε 24 μοντέλα
Οι ευπάθιες κρίσιμης σοβαρότητας είναι αδυναμίες μέσα σε ένα σύστημα ή ένα δίκτυο που μπορεί να οδηγήσουν σε σημαντική βλάβη εάν εκμεταλλευθούν από κακόβουλους παράγοντες. Αυτά τα τρωτά σημεία συχνά επιτρέπουν στους εισβολείς να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητα δεδομένα, να διακόψουν τις υπηρεσίες ή να αναλάβουν τον έλεγχο ολόκληρων συστημάτων. Είναι κρίσιμες από τη φύση τους επειδή συνήθως επηρεάζουν μεγάλο αριθμό χρηστών ή συστημάτων και έχουν τη δυνατότητα να προκαλέσουν σημαντική ζημιά τόσο οικονομική όσο και στη φήμη. Οι οργανισμοί πρέπει να δώσουν προτεραιότητα στον εντοπισμό και τον μετριασμό αυτών των τρωτών σημείων εφαρμόζοντας ισχυρά μέτρα ασφαλείας, τακτικές επιδιορθώσεις και συνεχή παρακολούθηση για την προστασία των περιουσιακών στοιχείων τους από πιθανές απειλές.
Πηγή: securityweek
You are receiving this email because you subscribed to this feed at https://blogtrottr.com
If you no longer wish to receive these emails, you can unsubscribe here:
https://blogtrottr.com/unsubscribe/nfz/3xfHTz
IT Security News, Gadgets, Tweaks for Geeks and More
To Jenkins διορθώνει κρίσιμες ευπάθειες σε server και plugins
https://www.secnews.gr/623309/jenkins-diorthonei-krisimes-efpatheies-server-plugins/
Oct 3rd 2024, 17:53
Το εργαλείο αυτοματισμού CI/CD ανοιχτού κώδικα Jenkins, κυκλοφόρησε ενημερώσεις κώδικα για πολλαπλές ευπάθειες υψηλής και μεσαίας σοβαρότητας στον server και σε αρκετά plugins.
Δείτε επίσης: Chrome: Ευπάθειες επιτρέπουν σε χάκερς να εκτελούν αυθαίρετο κώδικα
Κυκλοφόρησαν patches για δύο ευπάθειες μέσης σοβαρότητας στο Jenkins, ένα που οδηγεί στην έκθεση μυστικών πολλών γραμμών και ένα άλλο που οδηγεί σε παράκαμψη περιορισμού δημιουργίας.
Το πρώτο ζήτημα, που παρακολουθείται ως CVE-2024-47803, υπάρχει επειδή το "Jenkins 2.478 και παλαιότερες εκδόσεις, το LTS 2.462.2 και παλαιότερες εκδόσεις δεν διαγράφουν μυστικές τιμές πολλών γραμμών σε μηνύματα σφάλματος που δημιουργούνται για υποβολές φόρμας που περιλαμβάνουν το πεδίο φόρμας secretTextarea", σύμφωνα με ένα δελτίο ασφαλείας Jenkins.
Αυτό θα μπορούσε να οδηγήσει σε αποκάλυψη μυστικών πολλών γραμμών σε μηνύματα σφάλματος που υπάρχουν στα αρχεία καταγραφής συστήματος και αντιμετωπίστηκε στις εκδόσεις Jenkins 2.479 και LTS 2.462.3 με επεξεργασία αυτών των μυστικών.
To Jenkins ανακοίνωσε επίσης ενημερώσεις κώδικα για το CVE-2024-47804, μία ευπάθεια που επηρεάζει τη λειτουργικότητα δημιουργίας στοιχείων του διακομιστή αυτοματισμού ανάπτυξης λογισμικού.
Δείτε ακόμα: Ευπάθειες στα Small Business Routers της Cisco επιτρέπουν απομακρυσμένη εκμετάλλευση
Ενώ το Jenkins μπορεί να ρυθμιστεί ώστε να απαγορεύει τη δημιουργία συγκεκριμένων τύπων στοιχείων, εάν η δημιουργία επιχειρείται χρησιμοποιώντας το Jenkins CLI ή το REST API και ένας από τους δύο συγκεκριμένους ελέγχους αποτύχει, το στοιχείο θα δημιουργηθεί στη μνήμη και θα διαγραφεί από το δίσκο.
Κυκλοφόρησαν επίσης ενημερώσεις κώδικα για δύο ευπάθειες υψηλής σοβαρότητας στο OpenId Connect Authentication plugin και ένα ελάττωμα μέσης σοβαρότητας στα Credentials plugins.
Οι ευπάθειες ελέγχου ταυτότητας OpenId Connect — CVE-2024-47806 και CVE-2024-47807 — υπάρχουν επειδή το plugin αποτυγχάνει να ελέγξει εάν ένα διακριτικό εκδόθηκε για τον σωστό πελάτη και την ταυτότητα του αρχικού εκδότη, κάτι που θα μπορούσε να επιτρέψει στους εισβολείς να αποκτήσουν πρόσβαση διαχειριστή στο Jenkins.
Γνωστό ως CVE-2024-47805, το ζήτημα των Credentials plugins υπάρχει επειδή οι κρυπτογραφημένες τιμές των διαπιστευτηρίων που χρησιμοποιούν τον τύπο SecretBytes δεν διαγράφονται κατά την πρόσβαση στο config.xml μέσω REST API ή CLI, επιτρέποντας στους εισβολείς με δικαιώματα ανάγνωσης στοιχείων/εκτεταμένων να δουν αυτές τις κρυπτογραφημένες τιμές.
Δείτε επίσης: DrayTek routers: Διόρθωση ευπαθειών σε 24 μοντέλα
Οι ευπάθιες κρίσιμης σοβαρότητας είναι αδυναμίες μέσα σε ένα σύστημα ή ένα δίκτυο που μπορεί να οδηγήσουν σε σημαντική βλάβη εάν εκμεταλλευθούν από κακόβουλους παράγοντες. Αυτά τα τρωτά σημεία συχνά επιτρέπουν στους εισβολείς να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητα δεδομένα, να διακόψουν τις υπηρεσίες ή να αναλάβουν τον έλεγχο ολόκληρων συστημάτων. Είναι κρίσιμες από τη φύση τους επειδή συνήθως επηρεάζουν μεγάλο αριθμό χρηστών ή συστημάτων και έχουν τη δυνατότητα να προκαλέσουν σημαντική ζημιά τόσο οικονομική όσο και στη φήμη. Οι οργανισμοί πρέπει να δώσουν προτεραιότητα στον εντοπισμό και τον μετριασμό αυτών των τρωτών σημείων εφαρμόζοντας ισχυρά μέτρα ασφαλείας, τακτικές επιδιορθώσεις και συνεχή παρακολούθηση για την προστασία των περιουσιακών στοιχείων τους από πιθανές απειλές.
Πηγή: securityweek
You are receiving this email because you subscribed to this feed at https://blogtrottr.com
If you no longer wish to receive these emails, you can unsubscribe here:
https://blogtrottr.com/unsubscribe/nfz/3xfHTz
Σχόλια