PT-2021-14688 · Jenkins · Jenkins Config File Provider Plugin+1

CVE-2021-21645 · Publicado 2021-04-21 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Config File Provider, versões 3.7.0 e anteriores

Descrição

O problema diz respeito à ausência de verificações de permissão em vários pontos de extremidade HTTP, permitindo que invasores com permissão de Acesso Geral/Leitura enumerem IDs de arquivos de configuração. Isso pode ser explorado por invasores para obter acesso não autorizado a informações confidenciais.

Recomendações

Para o plugin Jenkins Config File Provider nas versões 3.7.0 e anteriores, atualize para a versão 3.7.1 ou posterior, que exige permissões adequadas para a enumeração de IDs de arquivos de configuração.

Como solução temporária, considere restringir o acesso aos pontos de extremidade HTTP afetados até que um patch esteja disponível.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2021-21645

GHSA-2959-FJ73-HM8P

RHSA-2021:2122

RHSA-2021:2431

RHSA-2021:2517

Produtos afetados

Jenkins

Jenkins Config File Provider Plugin

Referências · 8

• https://github.com/jenkinsci/config-file-provider-plugin · Nota
• https://github.com/jenkinsci/config-file-provider-plugin/commit/b7f3c5150ad557e86414122c69be20075aee27fa · Nota
• https://jenkins.io/security/advisory/2021-04-21/#SECURITY-2203 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21645 · Nota de Segurança
• https://t.me/cvenotify/13748 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21645 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2021/04/21/2 · Nota
• https://osv.dev/vulnerability/GHSA-2959-fj73-hm8p · Aviso do Fabricante