PT-2022-15858 · Jenkins · Jenkins Batch Task Plugin+1

Tomasz Szuba · Publicado 2022-01-12 · Atualizado 2023-11-30 · CVE-2022-23115

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Plugin de tarefas em lote do Jenkins, versões 1.19 e anteriores

Descrição

A vulnerabilidade permite que invasores com acesso geral/de leitura realizem determinadas ações devido a vulnerabilidades de falsificação de solicitação entre sites (CSRF). Essas ações incluem recuperar registros, criar ou excluir uma tarefa em lote.

Recomendações

Para as versões 1.19 e anteriores do plugin de tarefas em lote do Jenkins, considere restringir o acesso ao plugin para minimizar o risco de exploração até que uma correção esteja disponível.

Como solução alternativa temporária, limite o acesso geral/de leitura apenas ao pessoal autorizado.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-23115

GHSA-MH8G-8JWP-Q6XW

Produtos afetados

Jenkins

Jenkins Batch Task Plugin

Referências · 10

• https://github.com/jenkinsci/batch-task-plugin · Nota
• https://github.com/jenkinsci/batch-task-plugin/commit/0e461e230b40d8eeae6e2dfbf00ba7b461ddb0a9 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-23115 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-23115 · Aviso do Fabricante
• https://t.me/cvenotify/25617 · Publicação no Telegram
• https://jenkins.io/security/advisory/2022-01-12/#SECURITY-1025 · Aviso do Fabricante
• https://t.me/cvenotify/61757 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mh8g-8jwp-q6xw · Aviso do Fabricante
• https://t.me/cvenotify/25346 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/01/12/6 · Nota