PT-2020-15532 · Jenkins · Jenkins Active Directory Plugin+1

Matt Sicker · Publicado 2020-11-04 · Atualizado 2023-10-25 · CVE-2020-2302

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Active Directory, versões 2.19 e anteriores

Descrição

A ausência de uma verificação de permissão no Plugin Jenkins Active Directory permite que invasores com permissão “Geral/Leitura” acessem a página de diagnóstico da verificação de integridade do domínio. Esse problema foi resolvido na versão 2.20, que exige permissão “Geral/Administração” para acessar a página de diagnóstico da verificação de integridade do domínio.

Recomendações

Para as versões 2.19 e anteriores do Jenkins Active Directory Plugin, atualize para a versão 2.20 ou posterior para exigir permissão Geral/Administrar para acessar a página de diagnóstico da verificação de integridade do domínio. Como solução alternativa temporária, considere restringir o acesso à página de diagnóstico da verificação de integridade do domínio para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2020-2302

GHSA-Q6RQ-4WHR-R879

Produtos afetados

Jenkins

Jenkins Active Directory Plugin

Referências · 6

• https://github.com/jenkinsci/active-directory-plugin/commit/e6b5f2bf2f441bd679d35db1bd6f9576b148e3cb · Nota
• https://github.com/jenkinsci/active-directory-plugin · Nota
• https://jenkins.io/security/advisory/2020-11-04/#SECURITY-1999 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q6rq-4whr-r879 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2302 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2302 · Nota de Segurança