PT-2021-14715 · Jenkins · Jenkins Selenium Html Report Plugin+1

Justin Philip + 2 · Publicado 2021-06-30 · Atualizado 2023-10-25 · CVE-2021-21672

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Selenium HTML Report, versões 1.0 e anteriores

Descrição

O problema decorre do fato de o plugin não configurar seu analisador XML para impedir ataques de entidade externa XML (XXE), permitindo que invasores capazes de controlar os arquivos de relatório analisados por este plugin criem um arquivo de relatório que utilize entidades externas. Isso pode levar à extração de segredos do controlador do Jenkins ou à falsificação de solicitações do lado do servidor.

Recomendações

Para o plugin Jenkins Selenium HTML Report nas versões 1.0 e anteriores, atualize para a versão 1.1 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-21672

GHSA-HXXP-6546-WV6R

Produtos afetados

Jenkins

Jenkins Selenium Html Report Plugin

Referências · 11

• https://github.com/jenkinsci/seleniumhtmlreport-plugin · Nota
• https://github.com/jenkinsci/seleniumhtmlreport-plugin/commit/5ca59b8c7d23af4450dc7f19c1b4107d59063ae1 · Nota
• http://openwall.com/lists/oss-security/2021/06/30/1 · Nota
• https://jenkins.io/security/advisory/2021-06-30/#SECURITY-2329 · Aviso do Fabricante
• https://t.me/cvenotify/16944 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/04/14/2 · Nota
• https://t.me/cibsecurity/25832 · Publicação no Telegram
• https://t.me/cvenotify/17159 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hxxp-6546-wv6r · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21672 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21672 · Aviso do Fabricante