PT-2022-20411 · Jenkins · Jenkins Rundeck Plugin+1

Kevin Guerroudj · CVE-2022-30956 · Publicado 2022-05-17 · Atualizado 2023-11-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Rundeck, versões 3.6.10 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque o plugin Jenkins Rundeck não restringe os esquemas de URL nos envios de webhooks do Rundeck, permitindo que invasores enviem cargas de webhooks do Rundeck especialmente criadas. Isso pode ser explorado por invasores capazes de enviar essas cargas.

Recomendações

Para as versões 3.6.10 e anteriores, atualize para a versão 3.6.11 ou posterior, que sanitiza as URLs enviadas nas cargas de webhooks do Rundeck. Como solução alternativa temporária, considere restringir o acesso aos envios de webhooks do Rundeck para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-30956

GHSA-4M42-8QFQ-H3Q9

Produtos afetados

Jenkins

Jenkins Rundeck Plugin

Referências · 7

• https://github.com/jenkinsci/rundeck-plugin · Nota
• https://jenkins.io/security/advisory/2022-05-17/#SECURITY-2600 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4m42-8qfq-h3q9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-30956 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-30956 · Aviso do Fabricante
• https://t.me/cvenotify/60421 · Publicação no Telegram
• https://t.me/cibsecurity/42815 · Publicação no Telegram