Jenkins: Pfadüberschreitung (Path Traversal) (CVE-2024-23897)

Was ist betroffen, was ist zu tun

Jenkins 2.441 und früher sowie LTS 2.426.2 und frühere Versionen deaktivieren nicht eine Funktion des CLI-Befehlsparsers, die ein '@'-Zeichen gefolgt von einem Dateipfad in einem Argument durch den Inhalt der Datei ersetzt, wodurch unauthentifizierte Angreifer beliebige Dateien im Dateisystem des Jenkins-Controllers lesen können.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Jenkins auf Version 2.426.3, Jenkins auf Version 2.440.1, Jenkins auf Version 2.442. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Jenkins lt 1.606..2.426.3
• Jenkins lt 2.427..2.440.1
• Jenkins lt 2.441..2.442

Behoben in

• Jenkins 2.426.3
• Jenkins 2.440.1
• Jenkins 2.442

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Jenkins Controller sofort auf eine gepatchte Version aktualisieren: Weekly 2.442 oder LTS 2.440.1 bzw. 2.426.3. Downtime-Fenster notfalls erzwingen — die Lücke ist unauthentifiziert und trivial ausnutzbar.
   • Wenn ein Patch binnen Stunden nicht möglich ist: CLI-Zugriff deaktivieren. In jenkins.yaml / System-Properties hudson.cli.CLICommand.allowAtSyntax auf false setzen bzw. das CLI-over-SSH-Port und /cli/ HTTP-Endpoint via Reverse Proxy / Firewall blockieren (Standard-SSH-CLI-Port, HTTP(S) 8080/8443 Pfad /cli).
   • Jenkins Controller aus dem Internet und aus nicht vertrauenswürdigen Netzen isolieren — Zugriff nur über Jump Host / VPN / dediziertes Admin-VLAN. Reverse Proxy so konfigurieren, dass Requests auf /cli und /cli/* verworfen werden.
   • Nach dem Patchen alle auf dem Controller gespeicherten Secrets als kompromittiert betrachten: secrets/* (master.key, hudson.util.Secret), SSH-Credentials, API-Tokens, Service-Account-Tokens, in Credential-Provider hinterlegte Passwörter, Agent-Secrets rotieren. Auch Build-relevante Cloud-Keys (AWS/Azure/GCP) neu ausstellen.
   • Audit der Benutzerliste und Admin-Rolle: unbekannte User, neue API-Tokens, geänderte config.xml-Einträge prüfen und entfernen. users/*/config.xml auf Änderungen seit Veröffentlichung des Advisorys (Januar 2024) untersuchen.
   • Incident-Ticket mit Scope "Credential-Exposure" eröffnen; falls personenbezogene Daten in Build-Artefakten liegen, DSGVO-Meldefrist (72 h, Art. 33) prüfen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: Jenkins Controller nur aus einem Admin-VLAN erreichbar machen. Agents dürfen den Controller erreichen, aber nicht umgekehrt uneingeschränkt. Ausgehende Verbindungen des Controllers auf benötigte Registries / SCM / Cloud-APIs beschränken.
   • WAF/Reverse-Proxy-Regel: HTTP-Requests auf Pfad ^/cli(/|$) sowie POST-Requests mit Content-Type: application/x-www-form-urlencoded an diesen Endpoint blockieren. Zusätzlich Argumente mit führendem @-Zeichen in CLI-Parametern (z. B. im Request-Body) filtern.
   • Endpoint-Hardening: Jenkins-Prozess als nicht-root User (jenkins) laufen lassen, mit restriktiven Datei-Permissions auf /var/lib/jenkins/secrets/, /etc/shadow, /etc/passwd und SSH-Keys. AppArmor-/SELinux-Profil erzwingen, das lesenden Zugriff auf Systemdateien unterbindet.
   • IAM / Least Privilege: "Allow anonymous read access" deaktivieren; Matrix-based Security mit expliziter Rollentrennung. Agent-to-Controller Access Control aktiviert lassen (Standard seit 2.x). Keine Admin-Accounts ohne 2FA/SSO.
   • Konfigurations-Baseline: Via Configuration-as-Code (JCasC) sicherstellen, dass CLI-Features (hudson.model.ParametersAction.keepUndefinedParameters, CLI-over-SSH-Port) deterministisch deaktiviert sind. Drift-Detection gegen Git-Repo.
   • Backup und Forensik: Snapshot von $JENKINS_HOME vor Patch ziehen, damit forensische Analyse nachträglich möglich ist (Access-Logs, audit-trail-Plugin-Logs, secrets/-Timeline).
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-/Reverse-Proxy-Access-Log: HTTP-Requests auf /cli?remoting=false oder /cli mit POST, insbesondere kurz hintereinander mit variierenden User-Agents oder leerem User-Agent. Sigma-Shape: selection: cs-uri-stem|startswith: '/cli' AND cs-method: 'POST'.
   • Jenkins Access-Log / audit-trail-Plugin: CLI-Kommandos wie connect-node, help, who-am-i, enable-job von anonymen oder unerwarteten Usern, insbesondere mit Argumenten, die mit @/ oder @C:\ beginnen (Pfad-Traversal-Indikator).
   • Linux auditd auf dem Controller: type=SYSCALL mit exe=/opt/java/.../java und name=/etc/shadow, /var/lib/jenkins/secrets/master.key oder /root/.ssh/id_rsa. Jeder lesende Zugriff des Jenkins-Prozesses auf diese Pfade ist verdächtig.
   • Sysmon (Windows-Controller) EID 1 / EID 11: java.exe als Parent, der ungewöhnliche Child-Prozesse (cmd.exe, powershell.exe) spawnt — Hinweis auf eskalierte Ausnutzung zu RCE (bekannte Chain über Resource-Root-URL / Remember-Me-Cookies).
   • Netzwerk-Telemetrie (Zeek/Suricata): Suricata-Regeln aus dem ET-Open-Ruleset für CVE-2024-23897 (SIDs 2050300x-Range) deployen; zusätzlich eigene Regel auf HTTP-Body mit Pattern @/etc/, @/var/lib/jenkins/secrets, @C:\\Windows\\.
   • KQL (Microsoft Sentinel / Defender): DeviceProcessEvents | where InitiatingProcessFileName == "java.exe" | where FileName in~ ("sh","bash","cmd.exe","powershell.exe") | where InitiatingProcessCommandLine has "jenkins".

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Jenkins 2.441 und früher sowie LTS 2.426.2 und frühere Versionen deaktivieren nicht eine Funktion des CLI-Befehlsparsers, die ein '@'-Zeichen gefolgt von einem Dateipfad in einem Argument durch den Inhalt der Datei ersetzt, wodurch unauthentifizierte Angreifer beliebige Dateien im Dateisystem des Jenkins-Controllers lesen können.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), CISA KEV Catalog, CVE.org (MITRE), pwn.watch, OSV (Open Source Vulnerabilities), cvelistv5, CSA/SingCERT

Hersteller und Produkte

• Jenkins project Jenkins
• Jenkins Project Jenkins

Quellen & Referenzen

• NVD (NIST)NVD: CVE-2024-23897advisory, pwn-watch
• github.comjenkinsci/jenkins/commit/554f03782057c499c49bbb06575f0d28b5200e…web
• github.comjenkinsci/jenkinspackage
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2024-23897web, government-resource, US-Behörde
• jenkins.iochangelog-stableweb
• jenkins.ioJenkins Security Advisory 2024-01-24web, Herstellerhinweis, Herstellerhinweis, pwn-watch
• sonarsource.comblog/excessive-expansion-uncovering-critical-security-vulnerabi…web
• vicarius.iovsociety/posts/the-anatomy-of-a-jenkins-vulnerability-cve-2024-…web, Exploit, Hinweis Dritter
• packetstormsecurity.comfiles/176839/Jenkins-2.441-LTS-2.426.3-CVE-2024-23897-Scanner.h…web, Hinweis Dritter, Schwachstellendatenbank
• packetstormsecurity.comfiles/176840/Jenkins-2.441-LTS-2.426.3-Arbitrary-File-Read.htmlweb, Exploit, Hinweis Dritter, Schwachstellendatenbank
• openwall.comlists/oss-security/2024/01/24/6web, Mailingliste
• sonarsource.comblog/excessive-expansion-uncovering-critical-security-vulnerabi…Exploit, Presse
• pwn.watchpwn.watch: Jenkins CLI arbitrary file read (CVE-2024-23897) leads to RCEpwn-watch
• jenkins.ioJenkins Security Advisory 2024-01-24pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch