PT-2020-15323 · Jenkins · Jenkins Pipeline Github Notify Step Plugin+1

Thomas De Grenier De Latour · Publicado 2020-02-12 · Atualizado 2023-10-25 · CVE-2020-2116

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Pipeline GitHub Notify Step, versões 1.0.4 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a uma URL especificada por eles, utilizando IDs de credenciais fornecidas por eles, podendo capturar credenciais armazenadas no Jenkins.

Recomendações

Para o Jenkins Pipeline GitHub Notify Step Plugin versões 1.0.4 e anteriores, atualize para uma versão posterior à 1.0.4 para resolver o problema.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-2116

GHSA-QHXF-M7JM-JC57

Produtos afetados

Jenkins

Jenkins Pipeline Github Notify Step Plugin

Referências · 8

• https://github.com/jenkinsci/pipeline-githubnotify-step-plugin · Nota
• https://osv.dev/vulnerability/CVE-2020-2116 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/02/12/3 · Nota
• https://jenkins.io/security/advisory/2020-02-12/#SECURITY-812%20(1) · Nota
• https://safe-surf.ru/specialists/bulletins-nkcki/686774 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2020-2116 · Nota de Segurança
• https://jenkins.io/security/advisory/2020-02-12/#SECURITY-812%20%281%29 · Nota
• https://osv.dev/vulnerability/GHSA-qhxf-m7jm-jc57 · Aviso do Fabricante