Η ευπάθεια Jenkins υψηλής σοβαρότητας επιτρέπει μη πιστοποιημένα DoS μέσω HTTP CLI

Οι ενημερώσεις κώδικα που κυκλοφόρησε από τον Jenkins αντιμετωπίζουν μια σημαντική ευπάθεια άρνησης υπηρεσίας (DoS) που επηρεάζει εκατομμύρια οργανισμούς.

Αυτά βασίζονται στον δημοφιλή διακομιστή αυτοματισμού για συνεχείς αγωγούς ενοποίησης και ανάπτυξης. Μια ευπάθεια υψηλής σοβαρότητας στις εκδόσεις Jenkins 2.540 και νεότερες εκδόσεις (LTS 2.528.2 και παλαιότερες).

Επιτρέπει στους εισβολείς χωρίς έλεγχο ταυτότητας να ενεργοποιούν επιθέσεις άρνησης υπηρεσίας μέσω της διεπαφής γραμμής εντολών που βασίζεται σε HTTP.

Επισκόπηση ευπάθειας

Η ευπάθεια προέρχεται από ακατάλληλο χειρισμό σύνδεσης όταν οι ροές HTTP CLI καταστρέφονται.

Επιτρέποντας σε κακόβουλους φορείς να εξαντλήσουν τους πόρους του διακομιστή χωρίς να απαιτούν διαπιστευτήρια ελέγχου ταυτότητας. Το ελάττωμα υπάρχει στη λογική διαχείρισης σύνδεσης του Jenkins.

Όταν μια ροή σύνδεσης CLI που βασίζεται σε HTTP καταστρέφεται, η εφαρμογή αποτυγχάνει να κλείσει σωστά τη σύνδεση.

Αυτό επιτρέπει στους εισβολείς να στέλνουν ειδικά κατασκευασμένα αιτήματα σύνδεσης που αναγκάζουν τα νήματα χειρισμού αιτημάτων να περιμένουν επ’ αόριστον. Αποτελεσματικό πάγωμα πόρων και αποτροπή επεξεργασίας της νόμιμης κυκλοφορίας.

Επειδή η ευπάθεια δεν απαιτεί έλεγχο ταυτότητας και μπορεί να εκμεταλλευτεί εξ αποστάσεως μέσω του δικτύου.

Ενέχει άμεσο κίνδυνο για Τζένκινς εγκαταστάσεις που εκτίθενται σε μη αξιόπιστα δίκτυα ή στο δημόσιο Διαδίκτυο.

Οι εισβολείς μπορούν να ενεργοποιήσουν επανειλημμένα αυτήν την κατάσταση, συσσωρεύοντας νήματα μέχρι ο διακομιστής να μην ανταποκρίνεται.

Οι οργανισμοί πρέπει να αναβαθμίσουν αμέσως σε Jenkins 2.541 ή LTS 2.528.3. Οι οποίες περιλαμβάνουν ενημερώσεις κώδικα που κλείνουν σωστά τις συνδέσεις CLI που βασίζονται σε HTTP όταν παρουσιάζεται καταστροφή ροής.

Οι σταθερές εκδόσεις αποκαθιστούν την κανονική εκκαθάριση πόρων και αποτρέπουν επιθέσεις εξάντλησης νήματος.

Οι ομάδες ασφαλείας θα πρέπει να δώσουν προτεραιότητα στην επιδιόρθωση όλων των αναπτύξεων του Jenkins, ιδιαίτερα των περιπτώσεων που αντιμετωπίζουν το Διαδίκτυο.

Παρακολούθηση συστημάτων για ασυνήθιστα μοτίβα σύνδεσης ή ανωμαλίες αριθμού νημάτων που μπορεί να υποδεικνύουν ενεργές προσπάθειες εκμετάλλευσης.