PT-2021-14732 · Jenkins · Jenkins Perforce Plugin+1

Adith Sudhakar · Publicado 2021-11-12 · Atualizado 2023-11-22 · CVE-2021-21701

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin de desempenho do Jenkins, versões 3.20 e anteriores

Descrição

O problema está relacionado ao fato de o analisador XML não estar configurado para impedir ataques de entidade externa XML (XXE). Isso permite que invasores capazes de controlar o conteúdo da área de trabalho façam com que o Jenkins analise um arquivo de relatório XML malicioso, o que pode levar à extração de segredos do controlador do Jenkins ou à falsificação de solicitações do lado do servidor.

Recomendações

Para as versões 3.20 e anteriores do Jenkins Performance Plugin, como solução temporária, considere desativar o analisador XML até que um patch esteja disponível. Restrinja o acesso ao conteúdo do espaço de trabalho para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-21701

GHSA-HR8P-76Q8-FXWQ

ZDI-21-1313

Produtos afetados

Jenkins

Jenkins Perforce Plugin

Referências · 10

• https://github.com/jenkinsci/performance-plugin · Nota
• https://zerodayinitiative.com/advisories/ZDI-21-1313 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hr8p-76q8-fxwq · Aviso do Fabricante
• https://t.me/cibsecurity/32298 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2021/11/12/1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21701 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21701 · Aviso do Fabricante
• https://t.me/cvenotify/23325 · Publicação no Telegram
• https://jenkins.io/security/advisory/2021-11-12/#SECURITY-2394 · Aviso do Fabricante
• https://t.me/cvenotify/23331 · Publicação no Telegram