PT-2022-20400 · Jenkins · Jenkins Script Security Plugin+1

CVE-2022-30946 · Publicado 2022-05-17 · Atualizado 2023-12-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin de segurança de scripts do Jenkins, versões 1158.v7c1b 73a 69a 08 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores façam com que o Jenkins envie uma solicitação HTTP a um servidor web especificado pelo invasor. Isso ocorre porque o plugin não valida as solicitações adequadamente, permitindo que um invasor falsifique solicitações que o Jenkins executará.

Recomendações

Para as versões 1158.v7c1b 73a 69a 08 e anteriores do Jenkins Script Security Plugin, considere desativar o plugin até que uma correção esteja disponível para evitar possíveis explorações. Restrinja o acesso à interface do Jenkins para minimizar o risco de ataques CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-30946

GHSA-QWGX-MRV5-87J8

RHSA-2023:0017

RHSA-2023:0560

RHSA-2023:0777

Produtos afetados

Jenkins

Jenkins Script Security Plugin

Referências · 8

• https://github.com/jenkinsci/script-security-plugin · Nota
• https://github.com/jenkinsci/script-security-plugin/commit/35f6a0b8207ed3a32a85f27c1312da6cd738eeaa · Nota
• https://osv.dev/vulnerability/GHSA-qwgx-mrv5-87j8 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-30946 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-30946 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/05/17/8 · Nota
• https://jenkins.io/security/advisory/2022-05-17/#SECURITY-2116 · Aviso do Fabricante
• https://t.me/cvenotify/64911 · Publicação no Telegram