PT-2020-15442 · Jenkins · Jenkins Matrix Authorization Strategy Plugin+1

Wadeck Follonier · CVE-2020-2226 · Publicado 2020-07-15 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Matrix Authorization Strategy, versões 2.6.1 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de cross-site scripting armazenada. Ela ocorre porque os nomes de usuário exibidos na tabela de configuração ou permissão não são escapados adequadamente. Isso pode ser explorado por um usuário com permissões específicas, como Job/Configure, Agent/Configure ou Overall/Administer, dependendo da configuração de autorização. A vulnerabilidade permite a execução de scripts maliciosos.

Recomendações

Para as versões 2.6.1 e anteriores do Jenkins Matrix Authorization Strategy Plugin, atualize para a versão 2.6.2 ou posterior, que escapa os nomes de usuário na tabela de permissões, corrigindo a vulnerabilidade de cross-site scripting armazenada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-2226

GHSA-VR6V-WJFW-RXCR

RHSA-2020:3453

RHSA-2020:3541

RHSA-2020:3625

RHSA-2020:4265

Produtos afetados

Jenkins

Jenkins Matrix Authorization Strategy Plugin

Referências · 8

• https://github.com/jenkinsci/matrix-auth-plugin · Nota
• https://github.com/jenkinsci/matrix-auth-plugin/commit/e263a2feb47594787952a7e0bd1550e849c58b07 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2226 · Nota de Segurança
• https://t.me/cvenotify/5052 · Publicação no Telegram
• https://jenkins.io/security/advisory/2020-07-15/#SECURITY-1909 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2226 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/07/15/5 · Nota
• https://osv.dev/vulnerability/GHSA-vr6v-wjfw-rxcr · Aviso do Fabricante