PT-2020-15376 · Jenkins · Jenkins Literate Plugin+1

CVE-2020-2158 · Publicado 2020-03-09 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Literate, versões 1.0 e anteriores

Descrição

O problema decorre do fato de o plugin Jenkins Literate não ter configurado seu analisador YAML para impedir a instanciação de tipos arbitrários, o que leva a uma vulnerabilidade de execução remota de código.

Recomendações

Para as versões 1.0 e anteriores do Jenkins Literate Plugin, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2020-2158

GHSA-C329-R874-XC7J

Produtos afetados

Jenkins

Jenkins Literate Plugin

Referências · 7

• https://github.com/jenkinsci/literate-plugin · Nota
• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1750 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2158 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-2158 · Aviso do Fabricante
• https://t.me/cvenotify/1416 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-c329-r874-xc7j · Aviso do Fabricante