PT-2020-15310 · Jenkins · Jenkins
Daniel Beck
+1
·
Publicado
2020-01-29
·
Atualizado
2024-03-06
·
CVE-2020-2103
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões 2.218 e anteriores do Jenkins
Versões LTS 2.204.1 e anteriores do Jenkins
Descrição
A vulnerabilidade permite que invasores obtenham o valor do ID da sessão HTTP na página
/whoAmI, potencialmente explorando uma vulnerabilidade de cross-site scripting. Essa página exibe vários detalhes técnicos sobre o usuário atual, incluindo metadados do usuário que podem conter o ID da sessão HTTP nas versões afetadas. O valor do cabeçalho Cookie contendo o ID da sessão HTTP era anteriormente ocultado, mas os metadados do usuário ainda podiam incluir esse ID.Recomendações
Para as versões 2.218 e anteriores do Jenkins, atualize para a versão 2.219 ou posterior para resolver o problema.
Para as versões LTS 2.204.1 e anteriores do Jenkins, atualize para a versão 2.204.2 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso à página
/whoAmI até que um patch esteja disponível.Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins