PT-2021-14723 · Jenkins · Jenkins Nested View Plugin+1

Brian Hysell · Publicado 2021-08-31 · Atualizado 2023-11-22 · CVE-2021-21680

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Nested View, versões 1.20 e anteriores

Descrição

O problema decorre do fato de o plugin Jenkins Nested View não configurar seu transformador XML para impedir ataques de entidade externa XML (XXE). Isso permite que invasores capazes de configurar visualizações façam com que o Jenkins analise uma definição XML de visualização maliciosa, utilizando entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor.

Recomendações

Para o Jenkins Nested View Plugin versões 1.20 e anteriores, atualize para a versão 1.21 ou posterior, que desativa a resolução de entidades externas para seu transformador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-21680

GHSA-5WC4-W63V-97C3

Produtos afetados

Jenkins

Jenkins Nested View Plugin

Referências · 8

• https://github.com/jenkinsci/nested-view-plugin · Nota
• https://github.com/jenkinsci/nested-view-plugin/commit/79787294f034b3009c3de557c6441c9ceba936b8 · Nota
• https://jenkins.io/security/advisory/2021-08-31/#SECURITY-2411 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21680 · Nota de Segurança
• https://t.me/cibsecurity/28090 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-5wc4-w63v-97c3 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21680 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2021/08/31/1 · Nota