PT-2022-17136 · Jenkins · Jenkins Gitlab Authentication Plugin+1

James Nord · Publicado 2022-02-15 · Atualizado 2023-11-03 · CVE-2022-25196

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin de autenticação Jenkins GitLab, versões 1.13 e anteriores

Descrição

A vulnerabilidade permite que invasores com acesso ao Jenkins criem uma URL que redirecione os usuários para uma URL especificada pelo invasor após o login. Isso ocorre porque o plugin registra o cabeçalho HTTP Referer como parte dos parâmetros de consulta da URL quando o processo de autenticação é iniciado.

Recomendações

Para o plugin de autenticação Jenkins GitLab versões 1.13 e anteriores, atualize para uma versão posterior à 1.13 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao processo de autenticação para minimizar o risco de exploração.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2022-25196

GHSA-MVQ8-HGXH-4V2G

Produtos afetados

Jenkins

Jenkins Gitlab Authentication Plugin

Referências · 8

• https://github.com/jenkinsci/gitlab-oauth-plugin · Nota
• https://osv.dev/vulnerability/GHSA-mvq8-hgxh-4v2g · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-25196 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/02/15/2 · Nota
• https://jenkins.io/security/advisory/2019-08-07/#SECURITY-796 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-25196 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-02-15/#SECURITY-1833 · Aviso do Fabricante
• https://t.me/cibsecurity/37514 · Publicação no Telegram