PT-2021-14698 · Jenkins · Jenkins P4 Plugin+1

Justin Philip + 2 · Publicado 2021-05-11 · Atualizado 2023-12-27 · CVE-2021-21655

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins P4, versões 1.11.4 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a um servidor Perforce especificado por eles, utilizando um nome de usuário e uma senha também especificados por eles. O problema foi corrigido na versão 1.11.5, que exige solicitações POST para os pontos de extremidade HTTP afetados.

Recomendações

Para as versões 1.11.4 e anteriores do plugin Jenkins P4, atualize para a versão 1.11.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade HTTP afetados para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-21655

GHSA-3RJ3-QP2J-4FJ2

Produtos afetados

Jenkins

Jenkins P4 Plugin

Referências · 8

• https://github.com/jenkinsci/p4-plugin/commit/6b0237b04c985987460e31987d3cb314afa1ead6 · Nota
• https://github.com/jenkinsci/p4-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21655 · Nota de Segurança
• https://jenkins.io/security/advisory/2021-05-11/#SECURITY-2327 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3rj3-qp2j-4fj2 · Aviso do Fabricante
• https://t.me/cvenotify/65313 · Publicação no Telegram
• https://t.me/cvenotify/14736 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21655 · Aviso do Fabricante