Phát hiện hàng tá lỗ hổng zero-day trong các plugin cho Jenkins

Nhóm bảo mật Jenkins vừa công bố 34 lỗ hổng ảnh hưởng đến 29 plugin cho Jenkins, trong đó có 29 lỗ hổng zero-day đang chờ được vá.

Jenkins là một nền tảng rất phổ biến (hỗ trợ hơn 1.700 plugin) được các doanh nghiệp trên toàn thế giới sử dụng để xây dựng, thử nghiệm và triển khai phần mềm.

Các lỗ hổng zero-day có mức độ nghiêm trọng từ thấp đến cao. Theo thống kê của Jenkins, các plugin bị ảnh hưởng có tổng cộng hơn 22.000 lượt cài đặt.

Các lỗ hổng chưa được vá bao gồm XSS, Stored XSS, Cross-Site Request Forgery (CSRF), kiểm tra quyền không chính xác, mật khẩu, khóa bí mật, API key và token được lưu trữ dưới dạng bản rõ (plaintext).

Hầu hết các zero-day nguy hiểm yêu cầu tương tác của người dùng để có thể khai thác thành công.

Theo dữ liệu của Shodan, hiện có hơn 144.000 máy chủ Jenkins kết nối với Internet có thể bị nhắm mục tiêu trong các cuộc tấn công nếu chạy một plugin chưa được vá.

Trong khi Jenkins đã vá bốn plugin (GitLab, requests-plugin, TestNG Results, XebiaLabs XL Release), vẫn còn một danh sách dài các plugin dễ bị tấn công, bao gồm:

Build Notifications Plugin phiên bản từ 1.5.0 trở về trước
build-metrics Plugin phiên bản từ 1.3 trở về trước
Cisco Spark Plugin phiên bản từ 1.1.1 trở về trước
Deployment Dashboard Plugin phiên bản từ 1.0.10 trở về trước
Elasticsearch Query Plugin phiên bản từ 1.2 trở về trước
eXtreme Feedback Panel Plugin phiên bản từ 2.0.1 trở về trước
Failed Job Deactivator Plugin phiên bản từ 1.2.1 trở về trước
GitLab Plugin phiên bản từ 1.5.34 trở về trước
HPE Network Virtualization Plugin phiên bản từ 1.0 trở về trước
Jigomerge Plugin phiên bản từ 0.9 trở về trước
Matrix Reloaded Plugin phiên bản từ 1.1.3 trở về trước
OpsGenie Plugin phiên bản từ 1.9 trở về trước
Plot Plugin phiên bản từ 2.1.10 trở về trước
Project Inheritance Plugin phiên bản từ 21.04.03 trở về trước
Recipe Plugin phiên bản từ 1.2 trở về trước
Request Rename Or Delete Plugin phiên bản từ 1.1.0 trở về trước
requests-plugin Plugin phiên bản từ 2.2.16 trở về trước
Rich Text Publisher Plugin phiên bản từ 1.4 trở về trước
RocketChat Notifier Plugin phiên bản từ 1.5.2 trở về trước
RQM Plugin phiên bản từ 2.8 trở về trước
Skype notifier Plugin phiên bản từ 1.1.0 trở về trước
TestNG Results Plugin phiên bản từ 554.va4a552116332 trở về trước
Validating Email Parameter Plugin phiên bản từ 1.10 trở về trước
XebiaLabs XL Release Plugin phiên bản từ 22.0.0 trở về trước
XPath Configuration Viewer Plugin phiên bản từ 1.1.1 trở về trước

Mặc dù không có lỗ hổng nghiêm trọng nào có thể cho phép kẻ tấn công thực thi mã hoặc lệnh từ xa trên các máy chủ sử dụng plugin tồn tại lỗ hổng, nhưng chúng có thể bị nhắm mục tiêu trong các cuộc tấn công vào mạng doanh nghiệp.

Trước đây, các máy chủ Jenkins chưa được vá cũng từng bị tấn công để khai thác tiền điện tử Monero.

Tuy nhiên, những kẻ tấn công có nhiều khả năng sẽ khai thác những zero-day này trong các cuộc tấn công do thám, cho phép chúng hiểu rõ hơn về cơ sở hạ tầng của một công ty mục tiêu.

Nguồn Bleepingcomputer