Jenkins · Jenkins · CVE-2024-47804
**Nome do software vulnerável e versões afetadas**
Versões 2.478 e anteriores do Jenkins, LTS 2.462.2 e anteriores
**Descrição**
O problema está relacionado a um controle de acesso insuficiente no Jenkins, permitindo que invasores contornem as restrições de criação de itens. Se for feita uma tentativa de criar um item de um tipo proibido por meio da CLI do Jenkins ou da API REST e qualquer uma das verificações falhar, o Jenkins cria o item na memória, excluindo-o apenas do disco. Isso permite que invasores com permissão Item/Configure salvem o item para mantê-lo, contornando efetivamente a restrição de criação de itens. As verificações que podem falhar incluem `ACL#hasCreatePermission2` ou `TopLevelItemDescriptor#isApplicableIn(ItemGroup)`.
**Recomendações**
Para as versões 2.478 e anteriores do Jenkins, e LTS 2.462.2 e anteriores, considere desativar as funções `ACL#hasCreatePermission2` e `TopLevelItemDescriptor#isApplicableIn(ItemGroup)` até que um patch esteja disponível para impedir que invasores contornem as restrições de criação de itens.
Como solução alternativa temporária, restrinja o acesso à CLI do Jenkins e à API REST para minimizar o risco de exploração.
Evite usar a permissão Item/Configure nas versões afetadas do Jenkins até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.