PT-2021-14701 · Jenkins · Jenkins Nuget Plugin+1

Kevin Guerroudj · CVE-2021-21658 · Publicado 2021-05-25 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Nuget, versões 1.0 e anteriores

Descrição

O problema diz respeito ao analisador XML do plugin Jenkins Nuget, que não impede ataques de entidade externa XML (XXE). Esse analisador é usado para o recurso “Build on NuGet updates”, permitindo que invasores que possam controlar o conteúdo do arquivo packages.config analisem documentos XML maliciosos. Isso pode levar à extração de segredos do controlador Jenkins ou à falsificação de solicitações do lado do servidor.

Recomendações

Para as versões 1.0 e anteriores do plugin Jenkins Nuget, atualize para a versão 1.1 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-21658

GHSA-P674-HH8X-RV5H

Produtos afetados

Jenkins

Jenkins Nuget Plugin

Referências · 8

• https://github.com/jenkinsci/nuget-plugin/commit/542bf38ac52f045741a5670e1644af351878f7e0 · Nota
• https://github.com/jenkinsci/nuget-plugin/commit/c8ed4cb5b1c42f3c407f9f418b4e0b4274bea5a9 · Nota
• https://github.com/jenkinsci/nuget-plugin · Nota
• https://osv.dev/vulnerability/CVE-2021-21658 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2021-05-25/#SECURITY-2340 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21658 · Nota de Segurança
• http://openwall.com/lists/oss-security/2021/05/25/3 · Nota
• https://osv.dev/vulnerability/GHSA-p674-hh8x-rv5h · Aviso do Fabricante