PT-2020-15312 · Jenkins · Jenkins

Michele Romano

·

Publicado

2020-01-29

·

Atualizado

2024-03-06

·

CVE-2020-2105

CVSS v3.1

5.4

Média

VetorAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões 2.218 e anteriores do Jenkins
Versões LTS 2.204.1 e anteriores do Jenkins
Descrição
A vulnerabilidade permite ataques de clickjacking devido à ausência do cabeçalho HTTP X-Frame-Options: deny nas respostas da API REST. Um invasor poderia explorar essa vulnerabilidade induzindo um usuário a realizar uma ação em uma página da web especialmente criada para esse fim, que incorpora um endpoint da API REST em um iframe, permitindo potencialmente que o invasor obtenha o conteúdo desse endpoint.
Recomendações
Para as versões 2.218 e anteriores do Jenkins, atualize para a versão 2.219 ou posterior.
Para as versões 2.204.1 e anteriores do Jenkins LTS, atualize para a versão 2.204.2 ou posterior.

Correção

Clickjacking

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-1021

Identificadores relacionados

BIT-JENKINS-2020-2105
CVE-2020-2105
GHSA-7XP8-7WQX-5HQX

Produtos afetados

Jenkins