- Aktif istismar
- CWE-22
- CWE-27
CVE-2024-23897
Jenkins CLI komut ayrıştırıcısında yetkisiz rastgele dosya okuma açığı
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 1007 gün
- Kaydı açan
- jenkins
Yönetici özeti
Kurumun otomasyon ve yazılım derleme sunucusu olan Jenkins'te, giriş yapmadan sunucudaki dosyaların okunmasına izin veren kritik bir açık bulunuyor ve bu açık saldırganlar tarafından aktif olarak kullanılıyor. Sunucudaki parolalar ve gizli anahtarlar çalınabilir, bu da daha geniş bir sızıntıya yol açabilir. Güncelleme acilen yapılmalıdır.
ÖzetTürkçe
Jenkins 2.441 ve öncesi ile LTS 2.426.2 ve öncesi sürümlerde, CLI komut ayrıştırıcısı bir argümandaki '@' karakterini ve ardından gelen dosya yolunu, ilgili dosyanın içeriğiyle değiştiren özelliği devre dışı bırakmaz. Bu nedenle kimlik doğrulaması yapmamış bir saldırgan, Jenkins denetleyicisinin dosya sistemindeki rastgele dosyaları okuyabilir. Açık CISA tarafından bilinen ve aktif olarak istismar edilen güvenlik açıkları (KEV) listesine eklenmiştir. Jenkins'i internete açık veya ağ içinde erişilebilir şekilde çalıştıran tüm kurumlar etkilenir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan Jenkins denetleyicisindeki dosyaları okuyabilir; bu da gizli anahtarların, kimlik bilgilerinin ve yapılandırma verilerinin ele geçirilmesine yol açabilir. CVSS vektörü gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki öngörmektedir.
Kaynaktaki açıklama (İngilizce)
Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Jenkins'i düzeltilmiş sürüme yükseltin: haftalık sürüm hattında 2.442 veya üzeri, LTS hattında 2.426.3 veya 2.440.1 ve üzeri. Genel öneri
- Hemen güncelleme yapılamıyorsa, üretici talimatlarına göre geçici önlemleri uygulayın ve CLI erişimini kısıtlayın. CISA
- Geçici önlem de uygulanamıyorsa, ürünün kullanımını durdurun veya sunucuyu ağ erişimine kapatın. CISA
- Güncelleme sonrasında Jenkins denetleyicisinde saklanan parola, API anahtarı ve diğer gizli bilgileri değiştirin. Genel öneri
Ek önlemler
- Jenkins denetleyicisini doğrudan internete açmayın; erişimi VPN veya güvenlik duvarı ile yalnızca gerekli ağlarla sınırlandırın. Genel öneri
- Erişim ve CLI günlüklerinde olağan dışı istekleri ve beklenmedik dosya okuma denemelerini inceleyin; sistemin daha önce istismar edilip edilmediğini kontrol edin. Genel öneri
- Gizli bilgileri düz metin olarak dosya sisteminde tutmak yerine ayrı bir gizli bilgi yönetim çözümü kullanın. Genel öneri
- Jenkins ve eklentileri için düzenli güncelleme ve güvenlik duyurusu takip sürecini işletin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Jenkins Project Jenkins | < 1.606 Etkilenmiyor | – |
| ≥ 2.442 Etkilenmiyor | – | |
| ≥ 2.426.3 Etkilenmiyor | – | |
| ≥ 2.440.1 Etkilenmiyor | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- jenkins.io/security/advisory/2024-01-24 Üretici bülteni
- vicarius.io/…enkins-vulnerability-cve-2024-23897-revealed-1 İstismar kodu ya da analiz
- sonarsource.com/…g-critical-security-vulnerabilities-in-jenkins Diğer
- openwall.com/lists/oss-security/2024/01/24/6 Diğer
- packetstormsecurity.com/…-2.441-LTS-2.426.3-CVE-2024-23897-Scanner.html Diğer
- packetstormsecurity.com/…ins-2.441-LTS-2.426.3-Arbitrary-File-Read.html Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.