PT-2020-15440 · Jenkins · Jenkins Matrix Project Plugin+1

Wadeck Follonier · CVE-2020-2224 · Publicado 2020-07-15 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Matrix Project, versões 1.16 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque os nomes dos nós exibidos nas dicas de ferramenta na página de visão geral das compilações com um único eixo não são escapados corretamente. Essa vulnerabilidade pode ser explorada por usuários com permissão de Agente/Configurar.

Recomendações

Para o Jenkins Matrix Project Plugin versões 1.16 e anteriores, atualize para a versão 1.17 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à página de visão geral das compilações com um único eixo para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-2224

GHSA-H6QC-455M-7V6V

RHSA-2020:3453

RHSA-2020:3541

RHSA-2020:3625

RHSA-2020:4265

Produtos afetados

Jenkins

Jenkins Matrix Project Plugin

Referências · 8

• https://github.com/jenkinsci/matrix-project-plugin · Nota
• https://github.com/jenkinsci/matrix-project-plugin/commit/b5f22a43147360896442c4a7719446a864898cb4 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2224 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-2224 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-07-15/#SECURITY-1924 · Aviso do Fabricante
• https://t.me/cvenotify/5050 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-h6qc-455m-7v6v · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/07/15/5 · Nota