Esta vulnerabilidad es un caso clásico de path traversal, pero con un giro particular. El problema radica en la biblioteca args4j que usa Jenkins para analizar los argumentos de la línea de comandos. El analizador de comandos de la CLI tiene una función que expande automáticamente un carácter @ seguido de una ruta de archivo, reemplazándolo con el contenido del archivo. Esto está pensado para simplificar el paso de argumentos largos.

¿El problema? El analizador sintáctico no validaba correctamente las rutas de archivo antes de leerlas. Un atacante podía crear un comando de CLI que usara esta función @ para apuntar a cualquier archivo en el sistema de archivos del servidor. Por ejemplo, un comando enviado a la CLI de Jenkins podía incluir @/etc/passwd, lo que hacía que el servidor leyera el contenido de ese archivo. Para atacantes no autenticados, la exposición es limitada, pero los atacantes con permisos de lectura básicos pueden escalar sus privilegios de forma significativa, logrando potencialmente una ejecución remota de código completa al robar secretos almacenados en el servidor.

Tácticas, técnicas y procedimientos (TTPs)

Los atacantes que explotan CVE-2024-23897 generalmente comienzan con reconocimiento para identificar instancias vulnerables de Jenkins. Luego usan la capacidad de lectura de archivos para exfiltrar archivos confidenciales, como claves SSH, credenciales u otros secretos almacenados en el sistema de archivos. Con estos secretos, pueden moverse lateralmente por la red, escalar privilegios y, finalmente, implementar otro malware como webshells o ransomware. Es un camino rápido desde una simple lectura de archivos hasta un compromiso total del sistema.

Indicadores de compromiso

Mantente atento a solicitudes inusuales al endpoint de la CLI de Jenkins, en especial aquellas que contienen el carácter @ seguido de una ruta de archivo en los argumentos. Las entradas sospechosas en los registros de acceso de Jenkins o en los registros del servidor web que muestran solicitudes a endpoints como /cli pueden ser una señal reveladora. Monitorear conexiones salientes inesperadas desde el servidor Jenkins también puede ayudar a detectar intentos de exfiltración de datos. Una solución sólida de identidad, detección, amenazas y respuesta (ITDR) puede ayudarte a detectar estos comportamientos inusuales antes de que escalen.

Pruebas de concepto y exploits conocidos

A pocas horas de divulgarse la vulnerabilidad, se publicaron múltiples exploits de prueba de concepto (PoC) para CVE-2024-23897 en plataformas como GitHub. Estas PoC demostraron lo fácil que es leer archivos arbitrarios de un servidor Jenkins vulnerable. Tanto los investigadores de seguridad como los actores de amenazas han integrado desde entonces estos exploits en sus kits de herramientas. Se ha observado explotación activa en el entorno real, con atacantes escaneando y comprometiendo instancias de Jenkins sin parchar.