CVE-2021-21690: Agent processes are able to completely bypass file path filtering by wrapping the file operation in an agent file path in Jenkins 2.318 and

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• jenkins jenkinsдо 2.303.3
• jenkins jenkinsдо 2.319

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (jenkins). Не зависят от анализа CPE в NVD и обычно опережают его.

• Jenkins project Jenkins

  • unspecified и новее · до 2.318 включительнозатронута
  • unspecified и новее · до LTS 2.303.2 включительнозатронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-23897Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character folloKEV
  99Срочно
• CVE-2017-1000353Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution.KEV
  99Срочно
• CVE-2018-1000861A code execution vulnerability exists in the Stapler web framework used by Jenkins 2.153 and earlier, LTS 2.138.3 and earlier in stapler/corKEV
  98Срочно

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2021-216884 нояб. 2021 г. · The agent-to-controller security check FilePath#reading(FileVisitor) in Jenkins 2.318 and earlier, LTS 2.303.2 and earlier does not reject a
  30Наблюдать
• ← РаньшеCVE-2021-216894 нояб. 2021 г. · FilePath#unzip and FilePath#untar were not subject to any agent-to-controller access control in Jenkins 2.318 and earlier, LTS 2.303.2 and e
  36Наблюдать
• Позже →CVE-2021-216914 нояб. 2021 г. · Creating symbolic links is possible without the 'symlink' agent-to-controller access control permission in Jenkins 2.318 and earlier, LTS 2.
  40В плане

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.