PT-2022-18834 · Jenkins · Jenkins Jiratestresultreporter Plugin+1

Kevin Guerroudj · Publicado 2022-03-29 · Atualizado 2024-10-15 · CVE-2022-28136

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins JiraTestResultReporter, versões 165.v817928553942 e anteriores

Descrição

Uma vulnerabilidade do tipo falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a uma URL especificada por eles, utilizando credenciais fornecidas por eles mesmos. Isso pode ser explorado por invasores para realizar ações não autorizadas.

Recomendações

Para as versões 165.v817928553942 e anteriores do plugin Jenkins JiraTestResultReporter, considere desativar o plugin até que uma correção esteja disponível para impedir a exploração da vulnerabilidade CSRF. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de conexões não autorizadas a URLs especificadas pelo invasor.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-28136

GHSA-VQCX-JW4R-6FP3

Produtos afetados

Jenkins

Jenkins Jiratestresultreporter Plugin

Referências · 8

• https://github.com/jenkinsci/JiraTestResultReporter-plugin · Nota
• https://github.com/jenkinsci/JiraTestResultReporter-plugin/commit/0cc6208295b5cb683528e8bf04d139f0bee8eb53 · Nota
• https://jenkins.io/security/advisory/2022-03-29/#SECURITY-2236 · Aviso do Fabricante
• https://t.me/cvenotify/28417 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-28136 · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/03/29/1 · Nota
• https://osv.dev/vulnerability/CVE-2022-28136 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vqcx-jw4r-6fp3 · Aviso do Fabricante