Тысячи, а то и больше, серверов Jenkins уязвимы к атакам с целью захвата контроля, похищения данных и майнинга криптовалюты. Атаки возможны благодаря двум уязвимостям, позволяющим повысить привилегии до администратора или авторизоваться на сервере с недействительными учетными данными.
Проблемы обнаружили специалисты компании CyberArk и частным образом сообщили о них команде Jenkins. Хотя патчи были выпущены еще прошлым летом, тысячи уязвимых серверов Jenkins по-прежнему доступны через интернет.
Уязвимость CVE-2018-1999001 позволяет с помощью вредоносных ученых данных заставить сервер перенести свой файл config.xml из домашней директории в другое место. Если атакующему удастся вызвать аварийное завершение работы или перезагрузку сервера, сервер загрузится с настройками конфигурации по умолчанию, то есть с отключенными функциями безопасности. В таком случае любой жалеющий сможет авторизоваться на сервере и получить права администратора, открывающие доступ к корпоративному исходному коду и даже позволяющие вносить в него изменения и встраивать бэкдоры в приложения.
Вторая уязвимость CVE-2018-1999043 позволяет злоумышленнику создавать в памяти сервера временные записи пользователя, дающие ему возможность в определенный отрезок времени авторизоваться на сервере с недействительными учтенными данными.
