PT-2021-14713 · Jenkins · Jenkins

Angã©Lique Jard · Publicado 2021-06-30 · Atualizado 2024-03-06 · CVE-2021-21670

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 2.299 e anteriores do Jenkins

Versões LTS 2.289.1 e anteriores do Jenkins

Descrição

A vulnerabilidade permite que usuários cancelem itens da fila e abortem compilações de tarefas para as quais possuem permissão Item/Cancel, mesmo quando não possuem permissão Item/Read. Isso pode ser explorado por usuários com permissão Item/Cancel para afetar tarefas sem possuir a permissão Item/Read necessária.

Recomendações

Para as versões 2.299 e anteriores do Jenkins, não conceda a permissão Item/Cancel a usuários que não tenham a permissão Item/Read como solução alternativa.

Para as versões LTS 2.289.1 e anteriores do Jenkins, não conceda a permissão Item/Cancel a usuários que não tenham a permissão Item/Read como solução alternativa.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

BIT-JENKINS-2021-21670

CVE-2021-21670

GHSA-Q4WP-8C99-69PW

RHSA-2021:3820

Produtos afetados

Jenkins

Referências · 9

• https://github.com/jenkinsci/jenkins · Nota
• https://github.com/jenkinsci/jenkins/commit/86b7d7e789586575522650c60d591605facb1d70 · Nota
• https://jenkins.io/security/advisory/2021-06-30/#SECURITY-2278 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21670 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-q4wp-8c99-69pw · Aviso do Fabricante
• https://t.me/cvenotify/16946 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21670 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-jenkins-2021-21670 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2021/06/30/1 · Nota