PT-2021-14695 · Jenkins · Jenkins Xray - Test Management For Jira Plugin+1

Justin Philip · Publicado 2021-05-11 · Atualizado 2023-11-30 · CVE-2021-21652

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Jenkins Xray - Plugin de gerenciamento de testes para Jira, versões 2.4.0 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a uma URL especificada por eles, utilizando IDs de credenciais obtidas por outro método, capturando assim as credenciais armazenadas no Jenkins. Esse problema ocorre porque o plugin não exige solicitações POST para um método de teste de conexão.

Recomendações

Para o Jenkins Xray - Test Management for Jira Plugin versões 2.4.0 e anteriores, atualize para a versão 2.4.1 ou posterior, que exige solicitações POST para o método de teste de conexão afetado, mitigando a vulnerabilidade CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-21652

GHSA-RRVG-2C69-P9RF

Produtos afetados

Jenkins

Jenkins Xray - Test Management For Jira Plugin

Referências · 7

• https://github.com/jenkinsci/xray-connector-plugin · Nota
• https://jenkins.io/security/advisory/2021-05-11/#SECURITY-2251%20%281%29 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rrvg-2c69-p9rf · Aviso do Fabricante
• https://jenkins.io/security/advisory/2021-05-11/#SECURITY-2251%20(1) · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21652 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21652 · Aviso do Fabricante
• https://t.me/cvenotify/61773 · Publicação no Telegram