CVE-2017-1000353
CVE-2017-1000353
Em resumo
Versões do Jenkins anteriores à 2.57 e 2.46.2 LTS permitiam que invasores executassem código arbitrário sem autenticação, enviando objetos Java serializados especiais pela CLI. Isso é crítico porque Jenkins geralmente acessa credenciais sensíveis e recursos do sistema.
Detalhe técnico
Uma vulnerabilidade de execução remota de código não autenticada na CLI do Jenkins explora desserialização insegura de Java via ObjectInputStream. Atacantes contornam a proteção baseada em lista negra enviando um payload SignedObject, alcançando execução de código arbitrário com privilégios do processo Jenkins. A correção adiciona SignedObject à lista negra de desserialização e deprecia o protocolo CLI baseado em remoting.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java `SignedObject` object to the Jenkins CLI, that would be deserialized using a new `ObjectInputStream`, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding `SignedObject` to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.