PT-2020-15401 · Jenkins · Jenkins Amazon Ec2 Plugin+1

Raihaan Shouhell · Publicado 2020-05-06 · Atualizado 2023-10-25 · CVE-2020-2187

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Plugin Jenkins para Amazon EC2, versões 1.50.1 e anteriores

Descrição

A vulnerabilidade permite ataques do tipo “man-in-the-middle” devido à aceitação incondicional de certificados autoassinados e à falta de validação do nome do host ao se conectar a agentes Windows via HTTPS. Isso poderia ser explorado para interceptar conexões com agentes de compilação.

Recomendações

Para o Jenkins Amazon EC2 Plugin versões 1.50.1 e anteriores, atualize para a versão 1.50.2 ou posterior, que, por padrão, não aceita mais certificados HTTPS autoassinados e realiza a validação do nome do host. Observe que uma nova opção de configuração na versão 1.50.2 permite restaurar o comportamento anterior, que não é seguro; portanto, recomenda-se evitar o uso dessa opção para manter as configurações padrão seguras.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2020-2187

GHSA-C89C-PVM7-33WJ

Produtos afetados

Jenkins

Jenkins Amazon Ec2 Plugin

Referências · 7

• https://github.com/jenkinsci/ec2-plugin · Nota
• https://github.com/jenkinsci/ec2-plugin/commit/4c9f03ae202e4730fd54eda40771fa4d3873e358 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2187 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-2187 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-05-06/#SECURITY-1528 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/05/06/3 · Nota
• https://osv.dev/vulnerability/GHSA-c89c-pvm7-33wj · Aviso do Fabricante