CVE-2024-23897

CVE-2024-23897 Jenkins CVE-2024-23897: 任意ファイル読み取り脆弱性によりRCEに至る可能性 Jenkinsは、CLIコマンド処理時にJenkinsコントローラ上でコマンド引数やオプションを解析するためにargs4jライブラリを使用しています。このコマンドパーサーには、引数内の@文字に続くファイルパスをそのファイルの内容で置き換える機能（expandAtFiles）があります。この機能はデフォルトで有効になっており、Jenkins 2.441以前およびLTS 2.426.2以前では無効化されていません。...

CVE-2024-23897

CVE-2024-23897 此仓库提供了 CVE-2024-23897（由 SonarSource 发现）的概念验证代码。 CVE-2024-23897 | Jenkins 中的文件读取 免责声明 此代码是该漏洞的概念验证，我并不鼓励任何人将其用于他们不拥有的 Confluence 实例。 此工具仅用于研究和教育目的，我不会对您使用它所产生的任何后果负责。 描述 根据 Jenkins 安全公告 2024-01-24： Jenkins 在处理 CLI 命令时，使用 args4j 库来解析 Jenkins 控制器上的命令参数和选项。该命令解析器有一个特性，可以将参数中的 @...

poc-CVE-2024-23897

poc-CVE-2024-23897 CVE-2024-23897: Jenkins 任意文件读取导致远程代码执行 🎯 受影响的产品和版本 root@kitploit: 产品：Jenkins（持续集成/持续交付服务器） 版本：Jenkins 2.441 及更早版本，Jenkins LTS 2.426.2 及更早版本 修复版本：Jenkins 2.442，Jenkins LTS 2.426.3 📝 描述 CVE-2024-23897 是 Jenkins 中的一个严重漏洞，允许未经身份验证的攻击者读取 Jenkins 控制器文件系统上的任意文件。该漏洞存在是因为 Jenkins 未禁用其 C...

CVE-2024-23897

Jenkins 有一个内置的命令行界面（CLI），用于从脚本或 shell 环境访问 Jenkins。 Jenkins 使用 args4j 库来解析 Jenkins 控制器在处理 CLI 命令时的命令参数和选项。该命令解析器有一个功能，可以将参数中 @ 字符后跟文件路径的内容替换为该文件的内容（expandAtFiles）。此功能默认启用，而 Jenkins 2.441 及更早版本、LTS 2.426.2 及更早版本未禁用它。 这使得攻击者能够使用 Jenkins 控制器进程的默认字符编码读取 Jenkins 控制器文件系统上的任意文件。 拥有 Overall/Read...

PoC-Fix-jenkins-rce_CVE-2024-23897

PoC-jenkins-rceCVE-2024-23897. En este git puedes encontrar toda la información sobre la CVE-2024-23897. Introducción El problema, asignado con el identificador CVE-2024-23897, ha sido descrito como una vulnerabilidad de lectura arbitraria de archivos a través de la interfaz de línea de comandos...

jenkins: Arbitrary file read vulnerability through the CLI can lead to RCE

A flaw was found in Jenkins, which uses the args4j library to parse command arguments and options on the Jenkins controller when processing CLI commands. This command parser has a feature that replaces the "@" character followed by a file path in an argument with the file’s contents expandAtFiles...