PT-2020-15556 · Jenkins · Jenkins Chaos Monkey Plugin

CVE-2020-2322 · Publicado 2020-12-03 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Chaos Monkey, versões 0.3 e anteriores

Descrição

A vulnerabilidade diz respeito ao plugin Jenkins Chaos Monkey, no qual vários pontos de extremidade HTTP não realizam verificações de permissão. Isso permite que invasores com permissão de nível geral/leitura gerem carga e vazamentos de memória.

Recomendações

Para as versões 0.3 e anteriores do plugin Jenkins Chaos Monkey, considere atualizar para a versão 0.4 ou posterior, que exige permissão Geral/Administração para gerar carga e vazamentos de memória, mitigando assim o risco.

Correção

Missing Authorization

Memory Leak

Enumeração de Fraquezas

CWE-862

CWE-401

Identificadores relacionados

CVE-2020-2322

GHSA-MR75-899X-QCXQ

Produtos afetados

Jenkins Chaos Monkey Plugin

Referências · 8

• https://github.com/jenkinsci/chaos-monkey-plugin · Nota
• http://openwall.com/lists/oss-security/2020/12/03/2 · Nota
• https://jenkins.io/security/advisory/2020-12-03/#SECURITY-2109%20%281%29 · Nota
• https://t.me/cibsecurity/17091 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-2322 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2322 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mr75-899x-qcxq · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-12-03/#SECURITY-2109%20(1) · Nota