CISA ha incluido una vulnerabilidad crítica de Jenkins en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), alertando sobre el uso activo de esta brecha por parte de actores de amenazas. La vulnerabilidad, identificada como CVE-2024-23897, permite la ejecución remota de código en sistemas Jenkins.
Descripción de la vulnerabilidad
Jenkins es un servidor de automatización de código abierto ampliamente utilizado para facilitar el proceso de creación, prueba e implementación de software mediante integración continua (CI) y entrega continua (CD). La falla se debe a una debilidad en el analizador de comandos args4j, que permite a atacantes no autenticados leer archivos arbitrarios del sistema de archivos de Jenkins a través de la interfaz de línea de comandos (CLI) incorporada.
Detalles técnicos
El equipo de Jenkins explicó que el analizador de comandos tiene una característica que reemplaza un carácter «@» seguido de una ruta de archivo en un argumento con el contenido del archivo (expandAtFiles). Esta función está habilitada por defecto y no se deshabilita en versiones anteriores a Jenkins 2.441 y LTS 2.426.2.
Exploits y ataques
Días después de la publicación de actualizaciones de seguridad por parte de los desarrolladores de Jenkins el 24 de enero, se publicaron múltiples exploits de prueba de concepto (PoC). Se informó que algunos honeypots detectaron intentos de explotación solo un día después. El servicio de monitoreo de amenazas Shadowserver rastrea más de 28.000 instancias de Jenkins expuestas a CVE-2024-23897, la mayoría ubicadas en China y Estados Unidos.
Ataques reales
Según un informe de Trend Micro, la explotación salvaje de CVE-2024-23897 comenzó en marzo. CloudSEK afirmó que el actor de amenazas conocido como IntelBroker lo utilizó para violar al proveedor de servicios de TI BORN Group. Más recientemente, Juniper Networks informó que la pandilla RansomEXX aprovechó la vulnerabilidad para atacar a Brontoo Technology Solutions, que brinda servicios tecnológicos a bancos indios, causando interrupciones generalizadas en los sistemas de pago minorista.
Alerta de CISA
CISA advierte sobre el riesgo que representan este tipo de vulnerabilidades para la empresa federal. La agencia destaca que esta brecha es un vector frecuente para ciberataques maliciosos y plantea riesgos importantes.