Jenkinsに深刻な脆弱性「CVE-2024-43044」が見つかる PoC公開済みのため直ちに更新を：セキュリティニュースアラート

Conviso Application Securityは、Jenkinsの重大な脆弱性「CVE-2024-43044」に関する分析結果を公表した。この脆弱性はJenkinsサーバに深刻な影響を及ぼす可能性があり、注意が必要だ。

[後藤大地，有限会社オングス]

　Conviso Application Securityは2024年8月29日（現地時間）、「継続的インテグレーション／継続的デリバリー」（CI/CD）ソフトウェア「Jenkins」における深刻な脆弱（ぜいじゃく）性「CVE-2024-43044」について詳細な分析を発表した。

　この脆弱性が悪用された場合、Jenkinsサーバに不正アクセスされ、システム全体のセキュリティが危険にさらされる可能性がある。

Jenkinsの脆弱性「CVE-2024-43044」、PoC公開済みのため直ちに更新を

　CVE-2024-43044はJenkinsのエージェントが任意のファイルをコントローラーから読み取れる脆弱性だという。Jenkinsコントローラーとエージェント間の通信に使用される「Remoting」ライブラリーの実装に起因しており、攻撃者がこの欠陥を悪用すれば、Jenkinsコントローラーでリモートコード実行が可能となる。共通脆弱性評価システム（CVSS）v3.1のスコアは8.8で深刻度「重要」（High）と評価されている。

　この脆弱性の影響を受けるJenkinsのバージョンは以下の通りだ。

• Jenkins 2.470およびこれ以前のバージョン
• Jenkins LTS 2.452.3およびこれより前のバージョン

　なお、Conviso Application SecurityはCVE-2024-43044に対するPoC（概念実証）エクスプロイトも公開している。このエクスプロイトでは攻撃者がエージェントプロセスや資格情報を利用して、脆弱なJenkinsサーバに侵入してリモートコードを実行する具体的な手法が示されている。

　Jenkinsはこの脆弱性に対する修正パッチをリリースしており、問題の機能に対するバリデーションが強化され、エージェントからコントローラーへの不正なアクセスが制限されるようになっている。

　脆弱性が修正されたJenkinsのバージョンは以下の通りだ。

• Jenkins 2.471およびこれ以降のバージョン
• Jenkins LTS 2.452.4およびこれ以降のバージョン
• Jenkins LTS 2.462.1およびこれ以降のバージョン

　Conviso Application Securityは迅速なアップデートとセキュリティ対策の実施を強く推奨しており、「今後もこの脆弱性を悪用する攻撃手法の研究が進む可能性が高い」と指摘する。Jenkinsを利用している場合、公開情報を確認するとともに、迅速に問題が修正されたバージョンにアップデートすることが求められる。