PT-2022-14827 · Jenkins · Jenkins Bitbucket Branch Source Plugin+1
Devin Nusbaum
·
Publicado
2022-01-12
·
Atualizado
2023-11-30
·
CVE-2022-20619
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N |
Nome do software vulnerável e versões afetadas
Versões do Jenkins Bitbucket Branch Source Plugin anteriores à 746.v350d2781c184
Versões do Jenkins Bitbucket Branch Source Plugin anteriores à 725.vd9f8be0fa250
Versões do Jenkins Bitbucket Branch Source Plugin anteriores à 2.9.11.2
Versões do Jenkins Bitbucket Branch Source Plugin anteriores à 2.9.7.2
Versão 737.vdf9dc06105be e anteriores do Jenkins Bitbucket Branch Source Plugin
Descrição
Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a uma URL especificada por eles usando IDs de credenciais obtidas por outro método, capturando credenciais armazenadas no Jenkins. Esse problema ocorre porque o plugin não exige solicitações POST para um endpoint HTTP específico, o que pode ser explorado por invasores com acesso Geral/Leitura.
Recomendações
Para versões do Jenkins Bitbucket Branch Source Plugin anteriores à 746.v350d2781c184, atualize para a versão 746.v350d2781c184 ou posterior.
Para versões do Jenkins Bitbucket Branch Source Plugin anteriores à 725.vd9f8be0fa250, atualize para a versão 725.vd9f8be0fa250 ou posterior.
Para versões do Jenkins Bitbucket Branch Source Plugin anteriores à 2.9.11.2, atualize para a versão 2.9.11.2 ou posterior.
Para versões do plugin Jenkins Bitbucket Branch Source anteriores à 2.9.7.2, atualize para a versão 2.9.7.2 ou posterior.
Para a versão 737.vdf9dc06105be e anteriores do plugin Jenkins Bitbucket Branch Source, atualize para uma versão posterior à 737.vdf9dc06105be.
Exploit
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Bitbucket Branch Source Plugin