Jenkins Jenkins Command Line Interface (CLI) のパストラバーサルの脆弱性（CVE-2024-23897）

何が起きた

開発作業を自動で進めるソフト Jenkins のコマンド操作の機能（CLI）で、引数に「@」とファイルの場所を書くと、そのファイルの中身に置きかえてしまう機能が止められていませんでした。このため、ログインしていない攻撃者でも、Jenkins のサーバーにある任意の（攻撃者が選んだ）ファイルを読めてしまいます。Jenkins によると、ログインしていない攻撃者はファイルの最初の数行を、Overall/Read の権限を持つ攻撃者はファイル全体を読めます。読み取った情報からプログラムの実行につながるおそれがあり、実際に悪用されたことが確認されています。ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Jenkins 2.441 以前と、LTS 2.426.2 以前を使っている組織が対象です。

何をすればいい

Jenkins を 2.442 以降、または LTS 2.426.3 以降か LTS 2.440.1 以降に更新されているか確認してください。すぐに更新できない場合、Jenkins は CLI へのアクセスを止めることで悪用を完全に防げるとしていて、この方法は再起動なしで使えます。必ず公式の案内を確認してください。

やることチェックリスト

• Jenkins を 2.442 以降に更新する
• LTS は 2.426.3 か 2.440.1 以降に更新する
• すぐ更新できなければ CLI へのアクセスを止める

用語メモ

CLI

文字のコマンドを打ち込んでソフトを操作する方法です。

LTS

長い期間サポートされる版のことです。安定して使いたい組織向けです。

ランサムウェア

ファイルを使えなくして、元に戻すかわりにお金を要求する悪いプログラムです。