CVE-2023-49656

XXE w Jenkins MATLAB Plugin — pełny dostęp bez uwierzytelnienia

CVSS 9.8v3.1pub. 2023-11-29upd. 2024-11-21

Jenkins MATLAB Plugin w wersji 2.11.0 i wcześniejszych jest podatny na atak XML External Entity (XXE) z powodu braku odpowiedniej konfiguracji parsera XML. Podatność ma ocenę CVSS 9.8 i umożliwia nieuwierzytelnionemu atakującemu zdalne odczytanie plików oraz potencjalną kompromitację serwera CI/CD.

▸ Pokaż oryginał (EN)

Jenkins MATLAB Plugin 2.11.0 and earlier does not configure its XML parser to prevent XML external entity (XXE) attacks.

🤖 Analiza AI

Jak działa

Parser XML wbudowany w plugin nie jest skonfigurowany tak, aby blokować odwołania do zewnętrznych encji XML (XML External Entities). Atakujący może dostarczyć specjalnie spreparowany dokument XML zawierający odwołania do zasobów zewnętrznych lub lokalnych plików systemowych. Serwer Jenkins przetwarza taki dokument i w efekcie ujawnia zawartość plików lub wykonuje inne operacje w kontekście serwera.

Skutki

Atakujący bez żadnego uwierzytelnienia może odczytać dowolne pliki dostępne dla procesu Jenkins (np. klucze SSH, dane konfiguracyjne, sekrety CI/CD) oraz potencjalnie przeprowadzić ataki SSRF na zasoby wewnętrzne, co może prowadzić do pełnego przejęcia środowiska CI/CD.

Mitygacja

Należy zaktualizować Jenkins MATLAB Plugin do wersji nowszej niż 2.11.0, w której wprowadzono poprawną konfigurację parsera XML blokującą ataki XXE. Szczegóły dostępne w oficjalnym biuletynie bezpieczeństwa Jenkins pod adresem https://www.jenkins.io/security/advisory/2023-11-29/#SECURITY-3193