PT-2020-15400 · Jenkins · Jenkins Amazon Ec2 Plugin+1

Oleg Nenashev · Publicado 2020-05-06 · Atualizado 2023-10-25 · CVE-2020-2186

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins para Amazon EC2, versões 1.50.1 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores provisionem instâncias. A vulnerabilidade se deve ao fato de o plugin não exigir solicitações POST em vários pontos de extremidade HTTP, resultando em vulnerabilidades de falsificação de solicitação entre sites (CSRF). Isso permite que um invasor provisionar instâncias com um ID de modelo especificado por ele.

Recomendações

Para as versões 1.50.1 e anteriores do Jenkins Amazon EC2 Plugin, atualize para a versão 1.50.2 ou posterior, que exige solicitações POST para os pontos de extremidade HTTP afetados.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-2186

GHSA-W6HW-57JQ-H7F5

Produtos afetados

Jenkins

Jenkins Amazon Ec2 Plugin

Referências · 7

• https://github.com/jenkinsci/ec2-plugin · Nota
• https://github.com/jenkinsci/ec2-plugin/commit/4c9f03ae202e4730fd54eda40771fa4d3873e358 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2186 · Nota de Segurança
• https://jenkins.io/security/advisory/2020-05-06/#SECURITY-1408 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/05/06/3 · Nota
• https://osv.dev/vulnerability/GHSA-w6hw-57jq-h7f5 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2186 · Aviso do Fabricante