41/67 (IT) ประจำวันอังคารที่ 30 มกราคม 2567
นักวิจัยเตือนออกมาเตือนว่ามีการเผยแพร่ช่องโหว่แบบ Proof-of-Concept (PoC) หลายรายการที่มุ่งเป้าไปที่ช่องโหว่ระดับร้ายแรงของ Jenkins ซึ่งมีหมายเลขช่องโหว่คือ CVE-2024-23897 โดย Jenkins เป็นเซิร์ฟเวอร์อัตโนมัติแบบopen source ที่ได้รับความนิยมมากที่สุด ซึ่งดูแลโดยบริษัท CloudBees และชุมชน Jenkins เซิร์ฟเวอร์อัตโนมัติสนับสนุนนักพัฒนาในการสร้าง ทดสอบ และปรับใช้แอปพลิเคชันของตน โดยมีการติดตั้งที่ใช้งานอยู่นับแสนครั้งทั่วโลกพร้อมผู้ใช้มากกว่า 1 ล้านคน โดยผู้ดูแลแพลตฟอร์มโอเพ่นซอร์สได้แก้ไขช่องโหว่ด้านความปลอดภัย 9 รายการ รวมถึงช่องโหว่ระดับร้ายแรง CVE-2024-23897 ที่อาจนำไปสู่การเรียกใช้โค้ดจากระยะไกล (RCE) ผู้โจมตีสามารถใช้การเข้ารหัสอักขระเริ่มต้นของกระบวนการคอนโทรลเลอร์ Jenkins ในทางที่ผิดเพื่ออ่านไฟล์ที่กำหนดเองบนระบบไฟล์คอนโทรลเลอร์ ทำให้ผู้โจมตีที่มีสิทธิ์โดยสามารถอ่านไฟล์ทั้งหมดได้ ในขณะที่ผู้โจมตีที่ไม่มีสิทธิ์จะสามารถอ่านสามบรรทัดแรกของไฟล์ได้ ทั้งนี้ขึ้นอยู่กับคำสั่ง CLI ผู้ดูแลชี้ให้เห็นว่าการใช้ประโยชน์จากข้อบกพร่องนี้ทำให้สามารถอ่านไฟล์ไบนารี่ที่มีคีย์การเข้ารหัสที่ใช้สำหรับคุณสมบัติต่างๆ ของ Jenkins แม้ว่าจะมีข้อจำกัดบางประการก็ตาม Florian Roth นักวิจัยความปลอดภัยทางไซเบอร์ชื่อดัง เตือนว่ามีการเปิดเผยช่องโหว่แบบ PoC แล้ว และนักวิจัยชาวเยอรมัน Fernandez ได้ออกมาเตือนถึงการใช้ประโยชน์จากช่องโหว่นี้ โดยการใช้ Shodan เขาพบอินสแตนซ์ที่เชื่อมต่อกับอินเทอร์เน็ตมากกว่า 75,000 รายการ
แหล่งข่าว https://securityaffairs.com/158251/hacking/cve-2024-23897-poc-exploits.html
