最近、オープンソースの自動化ツールであるJenkinsに深刻なセキュリティ脆弱性の CVE-2024-43044 が発見されました。この脆弱性は、リモートコード実行（RCE）につながる可能性がある深刻な欠陥です。今回の記事では、Jenkinsの CVE-2024-43044 の脆弱性を悪用した攻撃方法と、脆弱性の影響を受ける機器および外部に公開されたJenkinsの機器を脅威ハンティングツールで確認する方法をご紹介します。
CVE-2024-43044 Jenkins RCE脆弱性を悪用する方法
Jenkinsは、オープンソースの自動化サーバーであり、主にソフトウェア開発の過程でCI・CD（継続的インテグレーションと継続的デリバリー）を支援するツールです。エンジニアがコード変更を自動的にビルド、テスト、デプロイすることができるように支援します。新たに発見されたJenkinsの深刻な脆弱性である CVE-2024-43044 は、Agent・Connect権限を持つ攻撃者がJenkinsのコントローラーファイルシステムから任意のファイルを読み取ることができる脆弱性です。
JenkinsはRemotingライブラリを使ってコントローラーとエージェント間の通信をサポートしますが、このライブラリは一般的にagent.jarまたはremoting.jarとして存在します。ところが、 CVE-2024-43044 の欠陥により、Jenkins 2.470および以前のバージョン、LTS 2.452.3および以前のバージョンでは、RemotingライブラリのClassLoaderProxy#fetchJarのメソッドを使用して、エージェントプロセスがコントローラのファイルシステムから任意のファイルを読み取ることができます。さらに、中間レベルの権限チェックの欠如脆弱性であるCVE-2024-43045も一緒に発見されましたが、これは、HTTPエンドポイントが権限確認を行わず、Overall・Read権限を持つ攻撃者が他のユーザーの「マイビュー」を読み取ることができる脆弱性です。
脅威ハンティングツールでJenkins RCEの脆弱性に影響される公開された機器を見つける
今回の脆弱性はJenkinsの様々なバージョンで発見されました。影響を受けるバージョンは以下の通りです。
- Jenkins weekly 2.470及びその以前のバージョン
- Jenkins LTS 2.452.3及びその以前のバージョン
この脆弱性を解決するには、Jenkins weeklyはバージョン2.471にアップデートし、Jenkins LTSはバージョン2.452.4または2.462.1にアップデートする必要があります。すべてのその以前のバージョンは当脆弱性の影響を受けるため、最新バージョンにアップデートすることをお勧めします。
脅威ハンティングツール及びCTI検索エンジンであるCriminal IPのIT資産検索を使用すると、外部インターネットに公開されたまま脆弱性の影響を受けやすいJenkinsの機器を見つけることができます。
Search Query: product: Jenkins
productフィルターでJenkinsを検索した結果、約8万個のJenkins機器が検索され、この中にはJenkins RCEの脆弱性やその他の深刻な脆弱性を保有しているサーバーも多数含まれていました。
検索されたJenkinsサーバーを保有している国は、合計93種以上が探索され、このうち、最も多くのサーバーを保有している国は、ソフトウェア開発およびITインフラ管理でJenkinsを広く使用しているアメリカであり、255,597個が発見されました。次に、ソフトウェアエンジニアリングとDevOps文化が発達したドイツが5,594個、3番目はIT産業と金融サービス分野でJenkinsを活用するイギリスが5,461個発見されました。
ハッカーの攻撃対象になりやすい公開されたJenkinsサーバー
検索された8万個の公開されたJenkinsのうち、一つを保有している特定のIPアドレスを見ると、ポート開放情報で80ポートにJenkins 2.319.1のバージョンが実行されていることが分かります。また、脆弱性情報では、 CVE-2024-43044 Jenkins RCEの脆弱性だけでなく、PoCが公開されている複数の深刻なJenkinsの脆弱性を保有していることが分かります。
世界的に使用される開発ツールやソフトウェアは、攻撃者にとって最高の餌食となります。脆弱性を保有していることだけでも危険であることはもちろん、脆弱性を保有したまま外部に公開されることは、より大きな脅威になる可能性があります。ユーザーは、Jenkinsの公式ウェブサイトで提供されるセキュリティ勧告を参考にして直ちにパッチを適用し、システムのセキュリティを強化する必要があります。
関連してホーム » ホームトレードシステムを悪用したQuasar RAT攻撃、脅威ハンティングツールでC2 IPアドレスを分析した結果をご参照ください。
当レポートはサイバー脅威インテリジェンス検索エンジン「Criminal IP」のデータに基づいて作成されました。只今Criminal IPの無料アカウントを作成し、レポートに引用された検索結果の確認やより膨大な脅威インテリジェンスを自由に検索いただけます。
データの提供：Criminal IP（https://www.criminalip.io/ja）
ご参照：
