PT-2021-23882 · Jenkins · Jenkins Owasp Dependency-Check Plugin+1

Haby0 · Publicado 2021-11-12 · Atualizado 2023-11-22 · CVE-2021-43577

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins OWASP Dependency-Check, versões 5.1.1 e anteriores

Descrição

O problema está relacionado ao fato de o analisador XML não estar configurado para impedir ataques de entidade externa XML (XXE). Isso permite que invasores capazes de controlar o conteúdo da área de trabalho façam com que o Jenkins analise um arquivo XML malicioso, o que pode levar à extração de segredos do controlador do Jenkins ou à falsificação de solicitações do lado do servidor.

Recomendações

Para as versões 5.1.1 e anteriores, atualize para uma versão que configure seu analisador XML para impedir ataques XXE.

Como solução temporária, considere restringir o acesso ao analisador XML ou desativá-lo até que um patch esteja disponível.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-43577

GHSA-MJ5V-GGJC-48P5

Produtos afetados

Jenkins

Jenkins Owasp Dependency-Check Plugin

Referências · 10

• https://github.com/jenkinsci/dependency-check-plugin/commit/c10d1496f9f0301e276daecea88161a905fca6d4 · Nota
• https://github.com/jenkinsci/dependency-check-plugin · Nota
• https://jenkins.io/security/advisory/2021-11-12/#SECURITY-2488 · Aviso do Fabricante
• https://t.me/cvenotify/23323 · Publicação no Telegram
• https://t.me/cvenotify/23329 · Publicação no Telegram
• https://t.me/cibsecurity/32299 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mj5v-ggjc-48p5 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2021/11/12/1 · Nota
• https://osv.dev/vulnerability/CVE-2021-43577 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43577 · Nota de Segurança