Redazione RHC : 29 Gennaio 2024 11:38
Numerosi exploit PoC sono apparsi online per una vulnerabilità critica in Jenkins che consente a persone non autorizzate di leggere file arbitrari. Ancor peggio, alcuni esperti di sicurezza riferiscono che gli hacker criminali stanno già sfruttando il problema per attaccare le infrastrutture IT.
SonarSource ha recentemente scoperto due vulnerabilità in Jenkins che, in determinate condizioni, consentono agli aggressori di accedere ai dati su server vulnerabili ed eseguire comandi CLI arbitrari.
Il primo problema, monitorato con il CVE-2024-23897, è considerato critico e consente agli aggressori non autenticati con autorizzazioni generali/di lettura di leggere dati da file arbitrari sul server Jenkins. Gli aggressori possono leggere le prime righe dei file. Il numero di righe dipende dai comandi CLI disponibili.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber
«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi».
Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Il bug è legato al comportamento predefinito del parser args4j in Jenkins, che espande automaticamente il contenuto dei file in argomenti di comando se l’argomento inizia con un carattere “@”, consentendo la lettura di file arbitrari.
Secondo i ricercatori, lo sfruttamento della vulnerabilità può portare all’elevazione dei privilegi al livello di amministratore e all’esecuzione remota di codice arbitrario. Tuttavia, ciò richiederà il rispetto di una serie di condizioni che differiscono per ciascuna variante di attacco.
La seconda vulnerabilità, CVE-2024-23898, è una vulnerabilità WebSocket XSS che consente agli aggressori di eseguire comandi CLI arbitrari inducendo un utente a fare clic su un collegamento dannoso. I rischi associati a questo bug dovrebbero essere mitigati dai meccanismi di protezione esistenti nei browser, ma esistono ancora a causa della mancanza di un’adozione diffusa di queste pratiche.
Il 24 gennaio 2024, gli sviluppatori Jenkins hanno rilasciato correzioni per queste vulnerabilità nelle versioni 2.442 e LTS 2.426.3 e hanno anche pubblicato un bollettino in cui descrivevano possibili scenari di attacco e modi per sfruttare i bug.
Dopo che le informazioni sulle vulnerabilità Jenkins sono diventate pubbliche, molti ricercatori hanno riprodotto alcuni degli scenari di attacco descritti dagli sviluppatori e hanno creato exploit PoC funzionanti, ora pubblicati su GitHub .
Gli exploit prendono di mira principalmente il CVE-2024-23897, che consente agli aggressori di eseguire in remoto codice su server Jenkins senza patch. Molti di questi PoC sono già comprovati e accurati, quindi gli aggressori possono sfruttarli con poche o nessuna modifica.
Alcuni specialisti della sicurezza informatica avvertono che i loro honeypot Jenkins hanno già registrato l’attività corrispondente degli aggressori, indicando tentativi di attacco CVE-2024-23897.
RedazioneI macro movimenti politici post-covid, comprendendo i conflitti in essere, hanno smosso una parte predominante di stati verso cambi di obbiettivi politici sul medio/lungo termine. Chiaramente è stato...
Come abbiamo riportato questa mattina, diversi cavi sottomarini nel Mar Rosso sono stati recisi, provocando ritardi nell’accesso a Internet e interruzioni dei servizi in Asia e Medio Oriente. Micros...
La Commissione Europea ha inflitto a Google una multa di 2,95 miliardi di euro, per abuso di posizione dominante nel mercato della pubblicità digitale. L’autorità di regolamentazione ha affermato ...
La cultura hacker è nata grazie all’informatico Richard Greenblatt e al matematico Bill Gosper del Massachusetts Institute of Technology (MIT). Tutto è iniziato nel famoso Tech Model Railroad Club...
Sette italiani su dieci hanno il proprio numero di telefono incluso in questa banca dati. Ma cosa significa attualmente disporre di un tale quantitativo di numeri telefonici concentrati all’interno ...
