PT-2021-14653 · Jenkins · Jenkins
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões 2.274 e anteriores do Jenkins; versões LTS 2.263.1 e anteriores
Descrição
O problema decorre da falta de restrições para a URL que renderiza uma pré-visualização formatada da marcação passada como parâmetro de consulta, resultando em uma vulnerabilidade de cross-site scripting (XSS) refletida se o formatador de marcação configurado não proibir elementos inseguros (JavaScript) na marcação. Isso pode ocorrer quando os usuários optam por fazer com que o Jenkins renderize uma pré-visualização formatada da descrição que inseriram. A vulnerabilidade foi mitigada no Jenkins 2.275 e no LTS 2.263.2, que exigem que as URLs de pré-visualização sejam acessadas usando POST e definam cabeçalhos Content-Security-Policy que impedem a execução de elementos não seguros quando a URL é acessada diretamente.
Recomendações
Para as versões 2.274 e anteriores do Jenkins, e as versões LTS 2.263.1 e anteriores, atualize para o Jenkins 2.275 ou LTS 2.263.2 para resolver o problema.
Como solução alternativa temporária, considere definir as propriedades do sistema Java
hudson.markup.MarkupFormatter.previewsAllowGET como false e hudson.markup. MarkupFormatter.previewsSetCSP como true para habilitar proteções, embora isso não seja recomendado.Restrinja o acesso ao formatador de marcação para minimizar o risco de exploração.
Evite usar formatadores de marcação que não proíbam elementos inseguros, como o Anything Goes Formatter Plugin, até que o problema seja resolvido.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins