CVE-2018-1000861
CVE-2018-1000861
En resumen
Jenkins versiones hasta 2.153 contienen una vulnerabilidad en el framework Stapler que permite a atacantes ejecutar código arbitrario accediendo a URLs especialmente diseñadas, eludiendo las restricciones de acceso a métodos Java.
Detalle técnico
Una falla de ejecución de código basada en deserialización y reflexión en MetaClass.java de Stapler permite que atacantes remotos invoquen métodos Java no intencionados a través de solicitudes HTTP manipuladas. La vulnerabilidad afecta Jenkins 2.153 y LTS 2.138.3 y anteriores, sin requerir autenticación; la explotación exitosa resulta en ejecución remota de código con privilegios del proceso Jenkins.
Resumen generado y traducido por IA a partir de la descripción oficial.
A code execution vulnerability exists in the Stapler web framework used by Jenkins 2.153 and earlier, LTS 2.138.3 and earlier in stapler/core/src/main/java/org/kohsuke/stapler/MetaClass.java that allows attackers to invoke some methods on Java objects by accessing crafted URLs that were not intended to be invoked this way.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/aPoCs públicas encontradas — 3
githubgithub.com/1NTheKut/CVE-2019-1003000_RCE-DETECTION★ 4githubgithub.com/smokeintheshell/CVE-2018-1000861★ 0cve_referencepacketstormsecurity.com/files/166778/Jenkins-Remote-Code-Execution.htmlno verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →Referencias
http://packetstormsecurity.com/files/166778/Jenkins-Remote-Code-Execution.htmlhttps://access.redhat.com/errata/RHBA-2019:0024https://jenkins.io/security/advisory/2018-12-05/#SECURITY-595https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-1000861http://www.securityfocus.com/bid/106176