PT-2020-15298 · Jenkins · Jenkins Robot Framework Plugin+1

Federico Pellegrin · Publicado 2020-01-15 · Atualizado 2023-10-25 · CVE-2020-2092

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Plugin Jenkins Robot Framework, versões 2.0.0 e anteriores

Descrição

A vulnerabilidade permite que usuários com permissões específicas façam com que o Jenkins analise documentos XML maliciosos, o que pode levar à extração de informações confidenciais do controlador do Jenkins, à falsificação de solicitações no lado do servidor ou a ataques de negação de serviço. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE). Um usuário capaz de controlar os arquivos de entrada para a etapa pós-compilação “Publish Robot Framework” pode explorar essa vulnerabilidade.

Recomendações

Para as versões 2.0.0 e anteriores do Jenkins Robot Framework Plugin, atualize para a versão 2.0.1 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2020-2092

GHSA-M53P-F25Q-Q6FG

Produtos afetados

Jenkins

Jenkins Robot Framework Plugin

Referências · 6

• https://github.com/jenkinsci/robot-plugin/commit/a06626f516e63813db570ff9f3e9b1f76012df59 · Nota
• https://github.com/jenkinsci/robot-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2092 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-m53p-f25q-q6fg · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2092 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-01-15/#SECURITY-1698 · Aviso do Fabricante