PT-2020-15524 · Jenkins · Jenkins Maven Cascade Release Plugin

Daniel Beck + 1 · Publicado 2020-10-08 · Atualizado 2023-10-25 · CVE-2020-2294

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Maven Cascade Release, versões 1.3.2 e anteriores

Descrição

O problema diz respeito à ausência de verificações de permissão em vários pontos de extremidade HTTP, permitindo que invasores com permissão de nível geral/leitura iniciem compilações em cascata e compilações de layout, além de reconfigurarem o plugin.

Recomendações

Para o Jenkins Maven Cascade Release Plugin versões 1.3.2 e anteriores, considere restringir o acesso à configuração do plugin e à funcionalidade de início de compilação para minimizar o risco de exploração. Como solução temporária, limite as permissões dos usuários que não precisam iniciar compilações em cascata ou reconfigurar o plugin. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2020-2294

GHSA-5XV9-GP22-GQM5

Produtos afetados

Jenkins Maven Cascade Release Plugin

Referências · 6

• https://github.com/jenkinsci/maven-release-cascade-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2294 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/10/08/5 · Nota
• https://osv.dev/vulnerability/CVE-2020-2294 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-10-08/#SECURITY-2049 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5xv9-gp22-gqm5 · Aviso do Fabricante