PT-2022-22039 · Jenkins · Jenkins

CVE-2022-34172 · Publicado 2022-06-22 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Jenkins 2.340 a 2.355

Descrição

O problema decorre do fato de que os ícones baseados em símbolos removem a codificação de valores previamente codificados dos parâmetros tooltip, resultando em uma vulnerabilidade de script entre sites (XSS). Sabe-se que essa vulnerabilidade pode ser explorada por invasores com permissão de Job/Configure.

Recomendações

Para as versões 2.340 a 2.355, atualize para o Jenkins 2.356 ou aplique uma das seguintes atualizações LTS: 2.332.4 ou 2.346.1, pois essas versões corrigem a vulnerabilidade, garantindo que os ícones baseados em símbolos não revertam mais a escapagem dos valores dos parâmetros tooltip.

Como solução alternativa temporária, considere restringir o acesso a ícones baseados em símbolos ou limitar a capacidade de configurar parâmetros tooltip até que a atualização possa ser aplicada.

Correção

Path traversal

XSS

Enumeração de Fraquezas

CWE-22

CWE-79

Identificadores relacionados

BIT-JENKINS-2022-34172

CVE-2022-34172

GHSA-MHP7-3393-PFQR

Produtos afetados

Jenkins

Referências · 10

• https://github.com/jenkinsci/jenkins · Nota
• https://t.me/cvenotify/60439 · Publicação no Telegram
• https://jenkins.io/security/advisory/2022-06-22/#SECURITY-2781 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34172 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-jenkins-2022-34172 · Aviso do Fabricante
• https://t.me/cvenotify/32355 · Publicação no Telegram
• https://t.me/cibsecurity/45024 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-34172 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mhp7-3393-pfqr · Aviso do Fabricante
• https://t.me/cvenotify/37117 · Publicação no Telegram