PT-2020-15510 · Jenkins · Jenkins Lockable Resources Plugin+1

Pierre Beitz · Publicado 2020-09-23 · Atualizado 2023-12-21 · CVE-2020-2281

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.8

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:P

Nome do software vulnerável e versões afetadas

Plugin Jenkins Lockable Resources, versões 2.8 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores reservem, cancelem reservas, desbloqueiem e reiniciem recursos. Esse problema ocorre porque o plugin não exige solicitações POST para vários pontos de extremidade HTTP, tornando-o vulnerável a ataques CSRF. A vulnerabilidade permite que invasores realizem ações não autorizadas nos recursos.

Recomendações

Para o Jenkins Lockable Resources Plugin versões 2.8 e anteriores, atualize para a versão 2.9 ou posterior, que exige solicitações POST para os pontos de extremidade HTTP afetados, mitigando assim a vulnerabilidade CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-2281

GHSA-RVWW-W62M-HCH8

Produtos afetados

Jenkins

Jenkins Lockable Resources Plugin

Referências · 8

• https://github.com/jenkinsci/lockable-resources-plugin · Nota
• https://github.com/jenkinsci/lockable-resources-plugin/commit/50ab82498f792775a761e6f4937607b240ecde67 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2281 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-rvww-w62m-hch8 · Aviso do Fabricante
• https://t.me/cvenotify/64568 · Publicação no Telegram
• https://jenkins.io/security/advisory/2020-09-23/#SECURITY-1958 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/09/23/1 · Nota
• https://osv.dev/vulnerability/CVE-2020-2281 · Aviso do Fabricante