PT-2020-15405 · Jenkins · Jenkins Self-Organizing Swarm Plug-In Modules Plugin+1

Oleg Nenashev · Publicado 2020-06-03 · Atualizado 2023-10-25 · CVE-2020-2191

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plug-in Jenkins Self-Organizing Swarm Plug-in Modules, versões 3.20 e anteriores

Descrição

O problema diz respeito à ausência de verificações de permissão nos pontos de extremidade da API que permitem adicionar e remover rótulos de agentes. Isso permite que usuários com permissão Agent/Create modifiquem os rótulos de qualquer agente. Os pontos de extremidade da API afetados exigem apenas um segredo global do Swarm para serem usados, sem realizar uma verificação regular de permissão.

Recomendações

Para as versões 3.20 e anteriores do plugin Jenkins Self-Organizing Swarm Plug-in Modules, atualize para a versão 3.21 ou posterior, que exige permissão Agent/Configure para que o agente afetado acesse os pontos de extremidade da API e não usa mais o segredo global do Swarm para esses pontos de extremidade.

Correção

Improper Authorization

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-285

CWE-276

Identificadores relacionados

CVE-2020-2191

GHSA-J852-MP82-WV2G

Produtos afetados

Jenkins

Jenkins Self-Organizing Swarm Plug-In Modules Plugin

Referências · 8

• https://github.com/jenkinsci/swarm-plugin/commit/4d18f98b00e4c84b152d52346fb9ef1a227b1cf7 · Nota
• https://github.com/jenkinsci/swarm-plugin · Nota
• https://osv.dev/vulnerability/GHSA-j852-mp82-wv2g · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2191 · Nota de Segurança
• https://jenkins.io/security/advisory/2020-06-03/#SECURITY-1200 · Aviso do Fabricante
• https://t.me/cvenotify/4142 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2020/06/03/3 · Nota
• https://osv.dev/vulnerability/CVE-2020-2191 · Aviso do Fabricante