CVE-2017-1000353
CVE-2017-1000353
En resumen
Versiones de Jenkins anteriores a 2.57 y 2.46.2 LTS permitían que atacantes ejecutaran código arbitrario sin autenticación enviando objetos Java serializados especiales a través de la CLI. Esto es crítico porque Jenkins generalmente tiene acceso a credenciales sensibles y recursos del sistema.
Detalle técnico
Una vulnerabilidad de ejecución remota de código no autenticada en la CLI de Jenkins explota deserialización insegura de Java mediante ObjectInputStream. Los atacantes evitan la protección basada en lista negra enviando un payload SignedObject, logrando ejecución de código arbitrario con privilegios del proceso Jenkins. La corrección agrega SignedObject a la lista negra de deserialización y depreca el protocolo CLI basado en remoting.
Resumen generado y traducido por IA a partir de la descripción oficial.
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java `SignedObject` object to the Jenkins CLI, that would be deserialized using a new `ObjectInputStream`, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding `SignedObject` to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.