Jenkins 服务器漏洞可能泄露敏感信息

2020-08-21 08:02:49 1 944

Jenkins发布了一篇关于jettyweb服务器中一个严重漏洞的公告,该漏洞可能导致内存损坏,并导致机密信息泄露。

Jenkins发布了一篇关于jettyweb服务器中一个严重漏洞的公告,该漏洞可能导致内存损坏,并导致机密信息泄露。该漏洞的编号为CVE-2019-17638,CVSS等级为9.4,影响范围为Eclipse Jetty版本9.4.27.v20200227至9.4.29.v20200521。

“该漏洞允许未经身份验证的攻击者获取HTTP响应标头,其中可能包含针对其他用户的敏感数据。”

这个影响Jetty和Jenkins核心的漏洞似乎是在Jetty版本9.4.27中引入的,该版本添加了一个机制来处理大型HTTP响应头并防止缓冲区溢出。

Jetty项目负责人GregWilkins说:“问题是在缓冲区溢出的情况下,我们释放了头缓冲区,但没有使字段为空。”

为解决此问题,Jetty引发异常以产生HTTP 431错误,该错误导致HTTP响应标头两次释放到缓冲池中,进而导致内存损坏和信息泄露。

因此,由于双重释放,两个线程可以同时从池中获取相同的缓冲区,并且可能允许一个请求访问由另一个线程写入的响应,该响应可能包括会话标识符、身份验证凭据和其他敏感信息。

换句话说,“当thread1要使用ByteBuffer写入response1数据时,thread2用response2数据填充ByteBuffer。然后,Thread1继续写入现在包含response2数据的缓冲区。这导致client1发出了request1并期望响应,看到response2可能包含属于client2的敏感数据。”

在一种情况下,内存损坏使得客户端能够在会话之间移动,从而可以进行跨帐户访问,因为来自一个用户响应的身份验证cookie被发送到另一用户,从而允许用户A跳入用户B的会话。

披露安全隐患后,上个月发布的Jetty 9.4.30.v20200611解决了该漏洞。Jenkins在昨天发布的Jenkins 2.243和Jenkins LTS 2.235.5中修复了其实用程序中的缺陷。

建议Jenkins用户将他们的软件更新到最新版本,以缓解该漏洞的危害。

关于作者

评论1次

要评论?请先  登录  或  注册
  • 1楼
    前天 18:52

    这也太水了,没有详细的细节,这种RCE微软每个月补丁都有几十个。。