CorePlague: в Jenkins нашли две опасные бреши, приводящие к выполнению кода

CorePlague: в Jenkins нашли две опасные бреши, приводящие к выполнению кода

CorePlague: в Jenkins нашли две опасные бреши, приводящие к выполнению кода

В системе непрерывной интеграции Jenkins нашли две опасные уязвимости, которые могут привести к выполнению кода на затронутых системах. Пользователям рекомендуют обновить Jenkins-серверы, чтобы избежать возможных кибератак.

Бреши отслеживаются под идентификаторами CVE-2023-27898 и CVE-2023-27905, но специалисты компании Aqua объединили их под одним именем — CorePlague. Проблемы затрагивают серверы Jenkins и Update Center, уязвимы все версии до 2.319.2.

«Эксплуатация выявленных брешей позволяет атакующему выполнить код на сервере жертвы. Таким образом, злоумышленник может получить полный контроль над целевым сервером», — пишет Aqua в отчёте.

Баги существуют из-за способа обработки плагинов Jenkins, доступных в Update Center. В результате киберпреступник может загрузить плагин с вредоносной нагрузкой и запустить атаку вида XSS (межсайтовый скриптинг).

«Как только жертва откроет “Available Plugin Manager“ на сервере Jenkins, запустится XSS, которая позволит атакующим выполнить код с помощью API Script Console», — объясняют специалисты Aqua.

Поскольку это разновидность «хранимой XSS», JavaScript внедряется на сервер без необходимости устанавливать плагин или переходить по URL. Разработчики уже подготовили патчи, с установкой которых рекомендуют не затягивать.

Подпишитесь на новости

Детское свидетельство в МАКС примут в поликлиниках, МФЦ и транспорте

Бумажное свидетельство о рождении можно будет реже доставать из папки. Правительство расширило перечень ситуаций, в которых родители смогут подтверждать личность несовершеннолетнего ребёнка через Цифровой ID в МАКС. Электронный документ разрешат предъявлять при покупке билетов, оформлении льготного или бесплатного проезда и при посадке в транспорт.

В списке также медицинская помощь по ОМС, посещение МФЦ, музеев, культурно-просветительных и спортивных мероприятий, покупка льготных билетов.

Возможность предусмотрена и для других услуг, при которых родителю или ребёнку нужно подтвердить личность. Но есть нюанс: сервис заработает по мере подключения организаций.

Поэтому наличие QR-кода в телефоне ещё не означает, что ближайшая регистратура уже готова его считать.

Само свидетельство находится в разделе «Семья и дети» сервиса Цифровой ID в МАКС. Родитель показывает QR-код, сотрудник организации считывает сведения.

При заселении в гостиницы такой сценарий уже действует. По представленным данным, к сервису подключены более 3 тыс. гостиниц по России.

Использование электронной версии добровольное, бумажное свидетельство продолжает действовать, просто у документа появляется больше шансов остаться дома, пока ребёнок едет в музей, на соревнования или к врачу.

RSS: Новости на портале Anti-Malware.ru