PT-2021-5282 · Jenkins · Jenkins

Daniel Beck · CVE-2021-21686 · Publicado 2021-11-04 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.8

Alta

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:N

Nome do software vulnerável e versões afetadas

Versões 2.318 e anteriores do Jenkins

Versões LTS 2.303.2 e anteriores do Jenkins

Descrição

O problema está relacionado ao subsistema de segurança agente-controlador do Jenkins, no qual os filtros de caminho de arquivo não canonizam os caminhos. Isso permite que operações sigam links simbólicos para diretórios externos não permitidos, comprometendo potencialmente a confidencialidade e a integridade das informações protegidas.

Recomendações

Para as versões 2.318 e anteriores do Jenkins, atualize para uma versão que corrija o problema.

Para as versões LTS do Jenkins 2.303.2 e anteriores, atualize para uma versão que corrija o problema.

Como solução alternativa temporária, considere restringir o acesso a diretórios confidenciais para minimizar o risco de exploração.

Correção

Path traversal

Link Following

Enumeração de Fraquezas

CWE-22

CWE-59

Identificadores relacionados

BDU:2021-06108

BIT-JENKINS-2021-21686

CVE-2021-21686

GHSA-4G38-HRM4-RG94

RHSA-2021:4799

RHSA-2021:4801

RHSA-2021:4827

RHSA-2021:4829

RHSA-2021:4833

Produtos afetados

Jenkins

Referências · 14

• https://github.com/jenkinsci/jenkins · Nota
• https://github.com/jenkinsci/jenkins/commit/63cde2daadc705edf086f2213b48c8c547f98358 · Nota
• https://github.com/jenkinsci/jenkins/commit/104c751d907919dd53f5090f84d53c671a66457b · Nota
• https://github.com/jenkinsci/jenkins/commit/5a245e42979abe4a26d41727c839521e36cedd74 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21686 · Nota de Segurança
• https://t.me/cvenotify/22986 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21694 · Nota de Segurança
• https://jenkins.io/security/advisory/2021-11-04/#SECURITY-2455 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-jenkins-2021-21686 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-06108 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4g38-hrm4-rg94 · Aviso do Fabricante
• https://safe-surf.ru/specialists/bulletins-nkcki/671859 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21686 · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2021-21686 · Nota