PT-2022-20429 · Jenkins · Jenkins Storable Configs Plugin+1

Daniel Beck · Publicado 2022-05-17 · Atualizado 2023-11-03 · CVE-2022-30972

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Storable Configs, versões 1.0 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores façam com que o Jenkins analise um arquivo XML local, como artefatos arquivados, que utiliza entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitação no lado do servidor.

Recomendações

Para o Jenkins Storable Configs Plugin versões 1.0 e anteriores, atualize para uma versão posterior à 1.0 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso a arquivos XML locais que utilizam entidades externas para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-30972

GHSA-RR2R-G6XM-58XJ

Produtos afetados

Jenkins

Jenkins Storable Configs Plugin

Referências · 8

• https://github.com/jenkinsci/storable-configs-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-30972 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-05-17/#SECURITY-1969 · Aviso do Fabricante
• https://t.me/cvenotify/30311 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-30972 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rr2r-g6xm-58xj · Aviso do Fabricante
• https://t.me/cibsecurity/42825 · Publicação no Telegram
• https://t.me/cvenotify/30722 · Publicação no Telegram