PT-2020-15355 · Jenkins · Jenkins Rundeck Plugin+1

Federico Pellegrin · Publicado 2020-03-09 · Atualizado 2023-10-25 · CVE-2020-2144

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Rundeck versões 3.6.6 e anteriores

Descrição

A vulnerabilidade permite que um usuário com acesso geral/de leitura faça com que o Jenkins analise uma solicitação HTTP maliciosa contendo dados XML que utilizam entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE).

Recomendações

Para as versões 3.6.6 e anteriores do plugin Jenkins Rundeck, atualize para a versão 3.6.7 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2020-2144

GHSA-5XH7-6V3X-VRHJ

Produtos afetados

Jenkins

Jenkins Rundeck Plugin

Referências · 8

• https://github.com/jenkinsci/rundeck-plugin/commit/9222a2101d994b43b6c399630da978a4cf2ea62f · Nota
• https://github.com/jenkinsci/rundeck-plugin · Nota
• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1702 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5xh7-6v3x-vrhj · Aviso do Fabricante
• https://t.me/cvenotify/1403 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-2144 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-2144 · Aviso do Fabricante