В открытый доступ выложили эксплойты для критической RCE-бреши в Jenkins

В открытый доступ выложили эксплойты для критической RCE-бреши в Jenkins

В открытый доступ выложили эксплойты для критической RCE-бреши в Jenkins

В публичный доступ выложили несколько демонстрационных эксплойтов для критической уязвимости в Jenkins, позволяющей прочитать файлы и удалённо выполнить код. Специалисты подтвердили, что злоумышленники уже используют эксплойты в атаках.

На две бреши, с помощью которых можно получить доступ к данным на серверах, указали эксперты SonarSource. При определённых условиях атакующие могут выполнить CLI-команды.

Одна из уязвимостей, получившая идентификатор CVE-2024-23897, допускает прочтение данных в произвольных файлах с правами «overall/read». Без этих прав киберпреступники могут прочитать лишь первые несколько строк.

Корень бреши кроется в дефолтной конфигурации парсера команд args4j в Jenkins, благодаря которой содержимое файлов автоматически раскрывается в аргументы команды, если последние начинаются с символа «@».

Как объяснили в SonarSource, успешная эксплуатация может привести к повышению прав и удалённому выполнению кода.

 

Вторая уязвимость — CVE-2024-23898 — представляет собой проблему перехвата WebSocket, из-за которой атакующие также могут выполнить CLI-команды. Для этого придётся заставить пользователя перейти по вредоносной ссылке.

Команда SonarSource сообщила о дырах разработчикам Jenkins 13 ноября 2023 года, а позже и помогла проверить патчи. Заплатки вышли 24 января с версиями 2.442 и LTS 2.426.3.

Поскольку в Сети уже лежат PoC, всем настоятельно рекомендуется установить обновления.

Помощь вузам обойдется российским ИТ-компаниям в 3% экономии на налогах

Минцифры РФ определилось с критериями оценки взаимодействия ИТ-отрасли с вузами, которое станет обязательным для аккредитованных компаний. Последние должны будут направлять на такие нужды 3% средств, сэкономленных на налогах и страховых взносах.

Согласно подготовленному проекту приказа, компании с годовой выручкой свыше 1 млрд руб. и штатом 100+ обяжут к 1 июня 2026 года заключить соглашения с профильными вузами о финансовой поддержке и помощи в подготовке кадров.

Неисполнение этого предписания грозит потерей ИТ-аккредитации, налоговых льгот и мобилизационной брони.

В соглашение о сотрудничестве в обязательном порядке должно быть включено соучастие в преподавательской работе и подготовке образовательных программ. По желанию стороны могут оговорить и другие меры поддержки — к примеру, возможность стажировки для студентов.

Не возбраняются также другие инициативы специалистов по ИТ — разработка профильных программ для школьников (5-11 классы), организация курсов повышения квалификации для учителей.

Опрошенные «Ведомостями» представители сферы образования отметили необходимость расширения составленного Минцифры списка мер поддержки. Так, можно было бы включить в него проведение совместных работ: преподавателям и студентам не хватает практических знаний / навыков, а сотрудники ИТ-компаний смогут повысить свой уровень как теоретики.

Кроме того, российские вузы испытывают потребность в образовательном контенте, целевых стипендиях для студентов, фондах для поощрения штатных преподавателей.

Комментаторы также отметили, что в помощи со стороны ИТ-отрасли нуждаются не только вузы, но и учреждения среднего профессионального образования (СПО), где все еще преобладает зарубежный софт. Выпускникам необходимо осваивать российские технологии, чтобы потом не переучиваться, устроившись на работу.

Экспертов в области ИТ можно было бы привлечь к проведению олимпиад и госэкзаменов, модернизации учебных лабораторий, разработке программ допобразования для преподавателей СПО.

RSS: Новости на портале Anti-Malware.ru