PT-2020-15462 · Jenkins · Jenkins Database Plugin+1

Oleg Nenashev · Publicado 2020-09-01 · Atualizado 2023-12-21 · CVE-2020-2241

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Plugin de banco de dados do Jenkins, versões 1.6 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a um servidor de banco de dados especificado por eles, utilizando credenciais fornecidas por eles. A vulnerabilidade afeta o método de validação de formulários, que, a partir da versão 1.7, exige solicitações POST.

Recomendações

Para as versões 1.6 e anteriores do plugin de banco de dados do Jenkins, atualize para a versão 1.7 ou posterior, que exige solicitações POST para o método de validação de formulários afetado, mitigando o risco de CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-2241

GHSA-9RVW-7MX7-H53X

Produtos afetados

Jenkins

Jenkins Database Plugin

Referências · 8

• https://github.com/jenkinsci/database-plugin · Nota
• https://github.com/jenkinsci/database-plugin/commit/7a438d96897af0034cb2e06db0819ca4595c24cb · Nota
• https://jenkins.io/security/advisory/2020-09-01/#SECURITY-1024 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9rvw-7mx7-h53x · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2241 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/09/01/3 · Nota
• https://t.me/cvenotify/64567 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-2241 · Aviso do Fabricante