PT-2022-15855 · Jenkins · Jenkins Publish Over Ssh Plugin+1

Justin Philip + 2 · Publicado 2022-01-12 · Atualizado 2023-11-30 · CVE-2022-23112

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Publish Over SSH, versões 1.22 e anteriores

Descrição

A ausência de uma verificação de permissão no plugin permite que invasores com acesso geral/leitura se conectem a um servidor SSH especificado pelo invasor, utilizando credenciais fornecidas por ele.

Recomendações

Para o plugin Jenkins Publish Over SSH versões 1.22 e anteriores, atualize para uma versão posterior à 1.22 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso geral/de leitura para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-23112

GHSA-VC4R-J8J6-3FP6

Produtos afetados

Jenkins

Jenkins Publish Over Ssh Plugin

Referências · 12

• https://github.com/jenkinsci/publish-over-ssh-plugin/commit/21bf41adbce9e71d3f77e113e29bf81d437cadc3 · Nota
• https://github.com/jenkinsci/publish-over-ssh-plugin · Nota
• https://github.com/jenkinsci/publish-over-ssh-plugin/commit/c2e5ad99da6de4b9152ae0691f112145358a5666 · Nota
• https://osv.dev/vulnerability/CVE-2022-23112 · Aviso do Fabricante
• https://t.me/cibsecurity/35369 · Publicação no Telegram
• https://t.me/cvenotify/25349 · Publicação no Telegram
• https://jenkins.io/security/advisory/2022-01-12/#SECURITY-2290 · Aviso do Fabricante
• https://t.me/cvenotify/25614 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-23112 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-vc4r-j8j6-3fp6 · Aviso do Fabricante
• https://t.me/cvenotify/61754 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/01/12/6 · Nota