PT-2021-14687 · Jenkins · Jenkins Config File Provider Plugin+1

CVE-2021-21644 · Publicado 2021-04-21 · Atualizado 2023-11-30

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.8

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:P

Nome do software vulnerável e versões afetadas

Plugin Jenkins Config File Provider, versões 3.7.0 e anteriores

Descrição

Uma vulnerabilidade do tipo falsificação de solicitação entre sites (CSRF) permite que invasores excluam arquivos de configuração correspondentes a um ID especificado pelo invasor. Esse problema ocorre porque o plugin não exige solicitações POST para um endpoint HTTP específico. A vulnerabilidade é resultado de uma correção incompleta de um problema de segurança anterior.

Recomendações

Para o plugin Jenkins Config File Provider nas versões 3.7.0 e anteriores, atualize para a versão 3.7.1 ou posterior, que exige solicitações POST para o endpoint HTTP afetado, mitigando assim a vulnerabilidade CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-21644

GHSA-998M-F2X3-JJQ4

RHSA-2021:2122

RHSA-2021:2431

RHSA-2021:2517

Produtos afetados

Jenkins

Jenkins Config File Provider Plugin

Referências · 8

• https://github.com/jenkinsci/config-file-provider-plugin/commit/9ffc32379477c4395ab17ff19b04b9f1286ceedb · Nota
• https://github.com/jenkinsci/config-file-provider-plugin · Nota
• https://jenkins.io/security/advisory/2021-04-21/#SECURITY-2202 · Aviso do Fabricante
• https://t.me/cvenotify/61772 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-998m-f2x3-jjq4 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2021/04/21/2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21644 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21644 · Aviso do Fabricante