PT-2021-14697 · Jenkins · Jenkins P4 Plugin+1

Justin Philip + 2 · Publicado 2021-05-11 · Atualizado 2023-10-25 · CVE-2021-21654

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins P4, versões 1.11.4 e anteriores

Descrição

A vulnerabilidade permite que invasores com permissão Overall/Read se conectem a um servidor Perforce especificado pelo invasor, utilizando um username e uma password especificados por ele. Isso se deve à ausência de verificações de permissão em vários pontos de extremidade HTTP.

Recomendações

Para as versões 1.11.4 e anteriores do plugin Jenkins P4, atualize para a versão 1.11.5 ou posterior, que exige permissão Geral/Administração para os pontos de extremidade HTTP afetados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2021-21654

GHSA-H6QV-F5GF-8GCF

Produtos afetados

Jenkins

Jenkins P4 Plugin

Referências · 6

• https://github.com/jenkinsci/p4-plugin/commit/6b0237b04c985987460e31987d3cb314afa1ead6 · Nota
• https://github.com/jenkinsci/p4-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21654 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-h6qv-f5gf-8gcf · Aviso do Fabricante
• https://jenkins.io/security/advisory/2021-05-11/#SECURITY-2327 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21654 · Aviso do Fabricante