Arbitrary File Reading уязвимость в Jenkins (CVE-2024-23897), приводящая к RCE. Jenkins — программная система с открытым исходным кодом для обеспечения процесса непрерывной интеграции ПО. Т.е. это про DevOps, CI/CD и прочее.

🔻 Уже доступна масса вариаций рабочих эксплоитов для этой уязвимости, в том числе и в сплоит-паках.
🔻 Подтвержденных сообщений об эксплуатации вживую пока нет, но в соцсеточках уже пишут, что замечали эксплуатацию на своих ханипотах. Видимо формальное подтверждение вопрос небольшого времени.
🔻 По данным Shadowserver в Интернет торчат 45000 уязвимых серверов. В основном в США и Китае, но, судя по карте, в России тоже около 1000 есть.
🔻 CVSS вектора от NVD тоже пока нет. NVD тормозит. 🦥

Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте.

And I invite all English-speaking people to another telegram channel @avleonovcom.