Notícias
ALERTA 03/2024
[TLP:CLEAR]
1. Este Alerta foi elaborado em conjunto pelo Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo do Gabinete de Segurança Institucional da Presidência da República (CTIR Gov) e pelo Centro de Pesquisa e Desenvolvimento para Segurança das Comunicações da Agência Brasileira de Inteligência (CEPESC/ABIN).
2. Em 24 de janeiro de 2024, o projeto Jenkins, que mantém serviço utilizado para automatizar tarefas relacionadas à construção, teste e entrega ou implementação de software, publicou um aviso de segurança sobre falhas no sistema, conforme a CVE-2024-23897:
3. A vulnerabilidade afeta a versão 2.441 e anteriores e o escore de criticidade desta falha foi atualizado para 9.8/10.0 (risco crítico). A interface de linha de comando (CLI) da plataforma permite a atores maliciosos obter chaves criptográficas SSH, senhas, credenciais, códigos-fonte de aplicações e ler arquivos de sistema, levando a possível execução remota de código e a escalação de privilégios, conforme detalhado em:
4. Foram identificadas provas de conceito públicas, com scripts e payloads funcionais testados, o que aumenta o risco de ocorrência de explorações da vulnerabilidade.
5. Até o momento foram confirmados os seguintes tipos de ataques:
- Execução remota de código por meio de URLs raiz;
- Execução remota de código por meio do cookie “Lembrar-me”;
- Execução remota de código por meio de ataques de cross-site scripting (XSS) armazenados através de logs de construção;
- Execução remota de código via by-pass de proteção;
- Descriptografia de segredos armazenados no Jenkins;
- Apagamento de qualquer item no Jenkins; e
- Download de heap dump Java.
6. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do Governo (CTIR Gov) solicita às instituições da Administração Pública Federal (APF) e orienta as demais entidades/instituições a atualizar imediatamente o software Jenkins para versão mais recente disponibilizada pelo desenvolvedor, disponível em:
7. Devido ao risco elevado de comprometimento, recomenda-se que o serviço Jenkins seja continuamente monitorado até que a versão atualizada seja instalada. Solução de contingência envolve desabilitar o acesso a interface de linha de comando e configurar a propriedade do sistema "Javahudson.cli.CLICommand.allowAtSyntax" como "true". Informações detalhadas podem ser obtidas em:
8. O CTIR Gov ressalta que, de acordo com os artigos 15 e 17 do Decreto Nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, cada órgão é responsável pela proteção cibernética de seus ativos de informação. Referência:
Equipes CTIR Gov e Cepesc/ABIN.
[TLP:CLEAR]