PT-2020-15391 · Jenkins · Jenkins Parasoft Findings Plugin+1

Federico Pellegrin · Publicado 2020-04-16 · Atualizado 2023-10-25 · CVE-2020-2178

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Parasoft Findings, versões 10.4.3 e anteriores

Descrição

A vulnerabilidade permite que um usuário capaz de controlar os arquivos de entrada do analisador do Parasoft Findings faça com que o Jenkins analise um arquivo malicioso que utilize entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. Isso ocorre porque o plugin não configura seu analisador XML para impedir ataques de entidade externa XML (XXE).

Recomendações

Para as versões 10.4.3 e anteriores do plugin Jenkins Parasoft Findings, atualize para a versão 10.4.4 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2020-2178

GHSA-2RH4-XGMQ-63JP

Produtos afetados

Jenkins

Jenkins Parasoft Findings Plugin

Referências · 6

• https://github.com/jenkinsci/parasoft-findings-plugin · Nota
• https://jenkins.io/security/advisory/2020-04-16/#SECURITY-1753 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2rh4-xgmq-63jp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2178 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/04/16/4 · Nota
• https://osv.dev/vulnerability/CVE-2020-2178 · Aviso do Fabricante