PT-2020-15557 · Jenkins · Jenkins Chaos Monkey Plugin

Publicado 2020-12-03 · Atualizado 2023-10-25 · CVE-2020-2323

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Chaos Monkey, versões 0.4 e anteriores

Descrição

A vulnerabilidade permite que invasores com permissão de nível geral/leitura acessem a página do Chaos Monkey e visualizem o histórico de ações, devido à falta de verificações de permissão em um endpoint HTTP.

Recomendações

Para as versões 0.4 e anteriores do plugin Jenkins Chaos Monkey, atualize para a versão 0.4.1 ou posterior, que exige permissão Geral/Administração para acessar a página do Chaos Monkey e visualizar o histórico de ações.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2020-2323

GHSA-HX53-635R-VMV8

Produtos afetados

Jenkins Chaos Monkey Plugin

Referências · 8

• https://github.com/jenkinsci/chaos-monkey-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2323 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/12/03/2 · Nota
• https://t.me/cibsecurity/17095 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hx53-635r-vmv8 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-12-03/#SECURITY-2109%20(2) · Nota
• https://jenkins.io/security/advisory/2020-12-03/#SECURITY-2109%20%282%29 · Nota
• https://osv.dev/vulnerability/CVE-2020-2323 · Aviso do Fabricante