PT-2020-15377 · Jenkins · Jenkins Cryptomove Plugin+1
Wasin Saengow
·
Publicado
2020-03-09
·
Atualizado
2023-10-25
·
CVE-2020-2159
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Plugin CryptoMove do Jenkins, versões 0.1.33 e anteriores
Descrição
A vulnerabilidade permite que invasores com acesso de nível Job/Configure executem comandos arbitrários do sistema operacional no Jenkins master como a conta de usuário do sistema operacional que executa o Jenkins. Isso é possível porque o plugin CryptoMove permite a configuração de um comando do sistema operacional a ser executado como parte da configuração da etapa de compilação, que será executada no controlador do Jenkins. Usuários com permissão de nível Job/Configure podem explorar essa vulnerabilidade para executar comandos arbitrários do sistema operacional no controlador do Jenkins.
Recomendações
Para as versões 0.1.33 e anteriores do plugin CryptoMove do Jenkins, considere restringir o acesso à permissão Job/Configure para minimizar o risco de exploração. Como solução alternativa temporária, considere desativar a configuração da etapa de compilação que permite a execução de comandos do sistema operacional até que um patch esteja disponível.
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Cryptomove Plugin