PT-2020-15327 · Jenkins · Jenkins Fitnesse Plugin+1

Federico Pellegrin · Publicado 2020-02-12 · Atualizado 2023-10-25 · CVE-2020-2120

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Plugin Jenkins FitNesse, versões 1.30 e anteriores

Descrição

A vulnerabilidade permite que um usuário capaz de controlar os arquivos de entrada da etapa pós-compilação faça com que o Jenkins analise um arquivo malicioso que utilize entidades externas para extrair segredos do controlador do Jenkins, falsificação de solicitações do lado do servidor ou ataques de negação de serviço. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE).

Recomendações

Para o plugin Jenkins FitNesse versões 1.30 e anteriores, atualize para a versão 1.31 ou posterior, que desativa o processamento de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2020-2120

GHSA-C3CG-MV5W-CVW8

Produtos afetados

Jenkins

Jenkins Fitnesse Plugin

Referências · 8

• https://github.com/jenkinsci/fitnesse-plugin · Nota
• https://github.com/jenkinsci/fitnesse-plugin/commit/7a913b9ff7e5a6acb0f4f4ec88d86da79db6af77 · Nota
• https://jenkins.io/security/advisory/2020-02-12/#SECURITY-1751 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/02/12/3 · Nota
• https://osv.dev/vulnerability/CVE-2020-2120 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c3cg-mv5w-cvw8 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2120 · Nota de Segurança
• https://t.me/cvenotify/919 · Publicação no Telegram