PT-2020-2660 · Jenkins · Jenkins Azure Container Service Plugin+1
Daniel Kalinowski
·
Publicado
2020-03-25
·
Atualizado
2023-10-25
·
CVE-2020-2168
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Azure Container Service, versões 1.0.1 e anteriores
Descrição
O problema está relacionado ao analisador YAML no plugin Jenkins Azure Container Service, que não está configurado corretamente para impedir a instanciação de tipos arbitrários. Isso resulta em uma vulnerabilidade de execução remota de código. A vulnerabilidade pode ser explorada por usuários que forneçam arquivos de entrada YAML para a etapa de compilação do plugin, permitindo que um invasor remoto execute código arbitrário.
Recomendações
Para as versões 1.0.1 e anteriores do plugin Jenkins Azure Container Service, atualize para a versão 1.0.2 ou posterior, que configura seu analisador YAML para instanciar apenas tipos seguros.
Como solução alternativa temporária, considere restringir o acesso à etapa de compilação que usa o analisador YAML para minimizar o risco de exploração.
Correção
RCE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Azure Container Service Plugin