Federico Pellegrin

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Valgrind, versões 0.28 e anteriores **Descrição** O problema diz respeito à configuração do analisador XML no plugin Jenkins Valgrind, que não impede ataques de entidade externa XML (XXE). Isso permite que um usuário capaz de controlar os arquivos de entrada do analisador do plugin Valgrind faça com que o Jenkins analise um arquivo malicioso que utilize entidades externas. Isso pode levar à extração de segredos do controlador do Jenkins ou à falsificação de solicitações do lado do servidor. **Recomendações** Para as versões 0.28 e anteriores do plugin Jenkins Valgrind, considere desativar o analisador XML ou restringir os arquivos de entrada para o analisador do plugin Valgrind até que um patch esteja disponível. Como solução alternativa temporária, restrinja o acesso à configuração do plugin para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Plugin de análise Klocwork do Jenkins, versões 2020.2.1 e anteriores **Descrição** O problema diz respeito a um ataque de entidade externa XML (XXE). Isso ocorre porque o analisador XML não está configurado para impedir tais ataques, permitindo que um usuário capaz de controlar os arquivos de entrada do analisador do plugin Klocwork faça com que o Jenkins analise um arquivo malicioso. Isso pode levar à extração de segredos do controlador do Jenkins ou à falsificação de solicitações do lado do servidor. **Recomendações** Para as versões 2020.2.1 e anteriores do plugin Jenkins Klocwork Analysis, considere desativar a funcionalidade do analisador XML até que um patch esteja disponível para impedir ataques XXE. Restrinja o acesso aos arquivos de entrada do plugin para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Valgrind versões 0.28 e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque o plugin não escapa adequadamente o conteúdo dos relatórios XML do Valgrind. Isso permite que invasores capazes de controlar o conteúdo desses relatórios explorem a vulnerabilidade. **Recomendações** Para as versões 0.28 e anteriores do Jenkins Valgrind Plugin, atualize para uma versão posterior à 0.28 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Parasoft Findings, versões 10.4.3 e anteriores **Descrição** A vulnerabilidade permite que um usuário capaz de controlar os arquivos de entrada do analisador do Parasoft Findings faça com que o Jenkins analise um arquivo malicioso que utilize entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. Isso ocorre porque o plugin não configura seu analisador XML para impedir ataques de entidade externa XML (XXE). **Recomendações** Para as versões 10.4.3 e anteriores do plugin Jenkins Parasoft Findings, atualize para a versão 10.4.4 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Code Coverage API, versões 1.1.4 e anteriores **Descrição** A vulnerabilidade permite que um usuário capaz de controlar os arquivos de entrada da etapa pós-compilação “Publish Coverage Report” faça com que o Jenkins analise um arquivo malicioso que utiliza entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações do lado do servidor. Isso ocorre porque o plugin não configura seu analisador XML para impedir ataques de entidade externa XML (XXE). **Recomendações** Para as versões 1.1.4 e anteriores do plugin Jenkins Code Coverage API, atualize para a versão 1.1.5 ou posterior, que desativa a resolução de entidades externas para seu analisador XML. Como solução alternativa temporária, considere restringir o acesso à etapa pós-compilação “Publicar Relatório de Cobertura” para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins FitNesse, versões 1.31 e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque o plugin não escapa corretamente o conteúdo dos relatórios antes de exibi-los na interface do usuário do Jenkins. Essa vulnerabilidade pode ser explorada por usuários capazes de controlar os arquivos de entrada XML processados pelo plugin. **Recomendações** Para as versões 1.31 e anteriores do plugin Jenkins FitNesse, atualize para a versão 1.32 ou posterior, que escapa o conteúdo dos arquivos de entrada XML antes de renderizá-lo na interface do usuário do Jenkins.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Rundeck versões 3.6.6 e anteriores **Descrição** A vulnerabilidade permite que um usuário com acesso geral/de leitura faça com que o Jenkins analise uma solicitação HTTP maliciosa contendo dados XML que utilizam entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE). **Recomendações** Para as versões 3.6.6 e anteriores do plugin Jenkins Rundeck, atualize para a versão 3.6.7 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Cobertura, versões 1.15 e anteriores **Descrição** A vulnerabilidade permite que um usuário capaz de controlar os arquivos de entrada da etapa pós-compilação “Publicar relatório de cobertura do Cobertura” faça com que o Jenkins analise um arquivo malicioso que utilize entidades externas. Isso pode levar à extração de segredos do controlador do Jenkins ou à falsificação de solicitações do lado do servidor, devido ao analisador XML não estar configurado para impedir ataques de entidade externa XML (XXE). **Recomendações** Para as versões 1.15 e anteriores do plugin Jenkins Cobertura, atualize para a versão 1.16 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

**Nome do software vulnerável e versões afetadas** Plugin Cobertura do Jenkins, versões 1.15 e anteriores **Descrição** A vulnerabilidade permite que invasores capazes de controlar o conteúdo do arquivo de relatório de cobertura sobrescrevam qualquer arquivo no sistema de arquivos do Jenkins master. Isso se deve a uma vulnerabilidade de gravação arbitrária de arquivos. O Cobertura Plugin 1.16 sanitiza os caminhos dos arquivos para impedir a saída do diretório base, indicando que as versões anteriores à 1.16 estão afetadas. **Recomendações** Para as versões 1.15 e anteriores do plugin Cobertura do Jenkins, atualize para a versão 1.16 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao conteúdo do arquivo de relatório de cobertura para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins FitNesse, versões 1.30 e anteriores **Descrição** A vulnerabilidade permite que um usuário capaz de controlar os arquivos de entrada da etapa pós-compilação faça com que o Jenkins analise um arquivo malicioso que utilize entidades externas para extrair segredos do controlador do Jenkins, falsificação de solicitações do lado do servidor ou ataques de negação de serviço. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE). **Recomendações** Para o plugin Jenkins FitNesse versões 1.30 e anteriores, atualize para a versão 1.31 ou posterior, que desativa o processamento de entidades externas para seu analisador XML.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins NUnit, versões 0.25 e anteriores **Descrição** A vulnerabilidade permite que um usuário capaz de controlar os arquivos de entrada da etapa pós-compilação faça com que o Jenkins analise um arquivo malicioso que utilize entidades externas. Isso pode levar à extração de informações confidenciais do controlador do Jenkins, à falsificação de solicitações no lado do servidor ou a ataques de negação de serviço. O problema surge porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE). **Recomendações** Para as versões 0.25 e anteriores do plugin Jenkins NUnit, atualize para a versão 0.26 ou posterior, que desativa o processamento de entidades externas para seu analisador XML.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Code Coverage API, versões 1.1.2 e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de XSS armazenado. Ela ocorre porque o nome do arquivo do relatório de cobertura utilizado na visualização não é escapado corretamente, permitindo que usuários com permissão para alterar configurações de tarefas explorem essa falha. Isso resulta em uma vulnerabilidade de cross-site scripting armazenado. **Recomendações** Para o Jenkins Code Coverage API Plugin versões 1.1.2 e anteriores, atualize para a versão 1.1.3 ou posterior, que escapa corretamente o nome do arquivo do relatório de cobertura usado em sua visualização.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Robot Framework, versões 2.0.0 e anteriores **Descrição** A vulnerabilidade permite que usuários com permissões específicas façam com que o Jenkins analise documentos XML maliciosos, o que pode levar à extração de informações confidenciais do controlador do Jenkins, à falsificação de solicitações no lado do servidor ou a ataques de negação de serviço. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE). Um usuário capaz de controlar os arquivos de entrada para a etapa pós-compilação “Publish Robot Framework” pode explorar essa vulnerabilidade. **Recomendações** Para as versões 2.0.0 e anteriores do Jenkins Robot Framework Plugin, atualize para a versão 2.0.1 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.