PT-2020-2659 · Jenkins · Jenkins Openshift Pipeline Plugin+1
Daniel Kalinowski
·
Publicado
2020-03-25
·
Atualizado
2023-10-25
·
CVE-2020-2167
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Plugin Jenkins OpenShift Pipeline, versões 1.0.56 e anteriores
Descrição
O problema está relacionado ao analisador YAML no Jenkins OpenShift Pipeline Plugin, que não impede a instanciação de tipos arbitrários. Isso resulta em uma vulnerabilidade de execução remota de código. A vulnerabilidade pode ser explorada por usuários que forneçam arquivos de entrada YAML à etapa de compilação do plugin, permitindo-lhes executar código arbitrário remotamente. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado.
Recomendações
Para as versões 1.0.56 e anteriores do Jenkins OpenShift Pipeline Plugin, atualize para a versão 1.0.57 ou posterior, que configura seu analisador YAML para instanciar apenas tipos seguros. Como solução alternativa temporária, considere restringir o acesso à etapa de compilação que usa o analisador YAML para minimizar o risco de exploração.
Correção
RCE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Openshift Pipeline Plugin