PT-2021-14689 · Jenkins · Jenkins Templating Engine Plugin+2

Daniel Beck · CVE-2021-21646 · Publicado 2021-04-21 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Templating Engine, versões 2.1 e anteriores

Descrição

A vulnerabilidade permite que invasores com permissão de Job/Configure executem código arbitrário no contexto da JVM do controlador do Jenkins. Isso se deve à falta de proteção para configurações de pipeline que utilizam o Script Security Plugin.

Recomendações

Para o plugin Jenkins Templating Engine versões 2.1 e anteriores, atualize para a versão 2.2, que se integra ao plugin Script Security para proteger as configurações de pipeline.

Correção

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-693

Identificadores relacionados

CVE-2021-21646

GHSA-P6QC-37HQ-WQR6

Produtos afetados

Jenkins

Jenkins Templating Engine Plugin

Script Security Plugin

Referências · 8

• https://github.com/jenkinsci/templating-engine-plugin · Nota
• https://github.com/jenkinsci/templating-engine-plugin/commit/aed14bed7333329f51330d0a8111e4d94cdee3e6 · Nota
• https://osv.dev/vulnerability/GHSA-p6qc-37hq-wqr6 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21646 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2021/04/21/2 · Nota
• https://jenkins.io/security/advisory/2021-04-21/#SECURITY-2311 · Aviso do Fabricante
• https://t.me/cvenotify/13745 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21646 · Nota de Segurança