PT-2022-22048 · Jenkins · Jenkins Embeddable Build Status Plugin+1

Publicado 2022-06-22 · Atualizado 2023-11-03 · CVE-2022-34180

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Embeddable Build Status, versões 2.0.3 e anteriores

Descrição

O problema diz respeito ao funcionamento incorreto da verificação de permissão ViewStatus no endpoint HTTP fornecido para o acesso ao ícone de status “desprotegido”. Isso permite que invasores sem nenhuma permissão obtenham o ícone de status da compilação para qualquer tarefa e/ou compilação especificada pelo invasor.

Recomendações

Para o Jenkins Embeddable Build Status Plugin versões 2.0.3 e anteriores, atualize para a versão 2.0.4 ou posterior, que exige a permissão ViewStatus para obter o ícone do selo de status da compilação. Como solução alternativa temporária, considere restringir o acesso ao endpoint HTTP para acesso ao selo de status “desprotegido” até que um patch esteja disponível.

Correção

Incorrect Authorization

Missing Authorization

Enumeração de Fraquezas

CWE-863

CWE-862

Identificadores relacionados

CVE-2022-34180

GHSA-XXHF-XQ6V-C8MJ

Produtos afetados

Jenkins

Jenkins Embeddable Build Status Plugin

Referências · 8

• https://github.com/jenkinsci/embeddable-build-status-plugin · Nota
• https://github.com/jenkinsci/embeddable-build-status-plugin/commit/402148784b3f4b029eaf47cc26ebf6b9bc636183 · Nota
• https://jenkins.io/security/advisory/2022-06-22/#SECURITY-2794 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34180 · Nota de Segurança
• https://t.me/cibsecurity/45028 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-34180 · Aviso do Fabricante
• https://t.me/cvenotify/32051 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-xxhf-xq6v-c8mj · Aviso do Fabricante