PT-2021-14712 · Jenkins · Jenkins Generic Webhook Trigger Plugin+1

Justin Philip + 2 · Publicado 2021-06-18 · Atualizado 2023-10-25 · CVE-2021-21669

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Generic Webhook Trigger, versões 1.72 e anteriores

Descrição

A vulnerabilidade permite que invasores façam com que o Jenkins analise um corpo de solicitação XML malicioso que utiliza entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE). Invasores com a capacidade de chamar webhooks configurados para extrair parâmetros usando XPath podem explorar essa vulnerabilidade.

Recomendações

Para o Jenkins Generic Webhook Trigger Plugin versões 1.72 e anteriores, atualize para a versão 1.74 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-21669

GHSA-732F-W585-GMPC

Produtos afetados

Jenkins

Jenkins Generic Webhook Trigger Plugin

Referências · 10

• https://github.com/jenkinsci/generic-webhook-trigger-plugin/commit/da434dfca1b82f5de81e29438762370d652493b8 · Nota
• https://github.com/jenkinsci/generic-webhook-trigger-plugin · Nota
• http://openwall.com/lists/oss-security/2021/06/18/1 · Nota
• https://osv.dev/vulnerability/GHSA-732f-w585-gmpc · Aviso do Fabricante
• https://t.me/cvenotify/16540 · Publicação no Telegram
• https://t.me/cvenotify/16574 · Publicação no Telegram
• https://jenkins.io/security/advisory/2021-06-18/#SECURITY-2330 · Aviso do Fabricante
• https://plugins.jenkins.io/generic-webhook-trigger/#dependencies · Nota
• https://osv.dev/vulnerability/CVE-2021-21669 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21669 · Nota de Segurança