PT-2021-14651 · Jenkins · Jenkins

Jesse Glick + 1 · Publicado 2021-01-13 · Atualizado 2024-03-06 · CVE-2021-21608

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 2.274 e anteriores do Jenkins

Versões LTS 2.263.1 e anteriores do Jenkins

Descrição

O problema decorre da falha na escapagem de rótulos de botões na interface do usuário do Jenkins, levando a uma vulnerabilidade de script entre sites (XSS). Essa vulnerabilidade pode ser explorada por invasores que tenham a capacidade de controlar os rótulos dos botões. Por exemplo, botões com rótulos controlados pelo usuário, como aqueles na etapa input do Pipeline, podem ser usados para explorar essa vulnerabilidade.

Recomendações

Para as versões 2.274 e anteriores do Jenkins, atualize para a versão 2.275 ou posterior para resolver o problema.

Para as versões 2.263.1 e anteriores do Jenkins LTS, atualize para a versão 2.263.2 ou posterior para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-JENKINS-2021-21608

CVE-2021-21608

GHSA-WV63-GWR9-5C55

RHSA-2021:0423

RHSA-2021:0429

RHSA-2021:0637

Produtos afetados

Jenkins

Referências · 10

• https://github.com/jenkinsci/jenkins · Nota
• https://github.com/jenkinsci/jenkins/commit/8c451b08886561a914ef0c30cbb9d40ea33a9bbe · Nota
• https://osv.dev/vulnerability/GHSA-wv63-gwr9-5c55 · Aviso do Fabricante
• https://t.me/cvenotify/8486 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-jenkins-2021-21608 · Aviso do Fabricante
• https://t.me/cibsecurity/22083 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21608 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2021-01-13/#SECURITY-2035 · Aviso do Fabricante
• https://t.me/cvenotify/60423 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21608 · Nota de Segurança