PT-2020-15396 · Jenkins · Jenkins Artifactory Plugin+1

Jesse Glick · Publicado 2020-05-06 · Atualizado 2023-10-25 · CVE-2020-2183

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Copy Artifact, versões 1.43.1 e anteriores

Descrição

O problema decorre de verificações de permissão inadequadas, permitindo que invasores copiem artefatos de tarefas às quais não têm permissão de acesso. Isso é particularmente preocupante para invasores com permissão de Job/Configure, pois eles podem configurar tarefas para copiar artefatos de tarefas restritas. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível.

Recomendações

Para o Jenkins Copy Artifact Plugin versões 1.43.1 e anteriores, atualize para a versão 1.44 ou posterior. Após a atualização, mude do “Modo de migração” para o “Modo de produção” para ativar as proteções adicionais, observando que isso pode fazer com que tarefas existentes falhem ao copiar artefatos.

Correção

Improper Authorization

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-285

CWE-276

Identificadores relacionados

CVE-2020-2183

GHSA-VV89-XGGX-QQH2

Produtos afetados

Jenkins

Jenkins Artifactory Plugin

Referências · 7

• https://github.com/jenkinsci/copyartifact-plugin · Nota
• https://github.com/jenkinsci/copyartifact-plugin/commit/dc87de169604cb9b6706c5328e2e4aeb2c6652d6 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2183 · Nota de Segurança
• https://jenkins.io/security/advisory/2020-05-06/#SECURITY-988 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/05/06/3 · Nota
• https://osv.dev/vulnerability/GHSA-vv89-xggx-qqh2 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2183 · Aviso do Fabricante