PT-2020-15399 · Jenkins · Jenkins Amazon Ec2 Plugin+1

Raihaan Shouhell · Publicado 2020-05-06 · Atualizado 2023-10-25 · CVE-2020-2185

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Plugin Jenkins para Amazon EC2, versões 1.50.1 e anteriores

Descrição

O problema diz respeito à falta de validação da chave de host SSH ao conectar agentes, o que poderia permitir ataques do tipo “man-in-the-middle” para interceptar conexões com agentes de compilação. Isso poderia potencialmente permitir acesso não autorizado ou manipulação de dados.

Recomendações

Para o Jenkins Amazon EC2 Plugin versões 1.50.1 e anteriores, atualize para a versão 1.50.2 ou posterior, que oferece estratégias para realizar a validação da chave do host e assistência para a migração para uma estratégia mais segura.

Correção

Enumeração de Fraquezas

CWE-300

Identificadores relacionados

CVE-2020-2185

GHSA-Q8QQ-2P5P-RG44

Produtos afetados

Jenkins

Jenkins Amazon Ec2 Plugin

Referências · 7

• https://github.com/jenkinsci/ec2-plugin · Nota
• https://github.com/jenkinsci/ec2-plugin/commit/4c9f03ae202e4730fd54eda40771fa4d3873e358 · Nota
• https://osv.dev/vulnerability/GHSA-q8qq-2p5p-rg44 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-05-06/#SECURITY-381 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2185 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/05/06/3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2185 · Nota de Segurança