PT-2022-22059 · Jenkins · Jenkins Maven Metadata Plugin+3
CVE-2022-34190
·
Publicado
2022-06-22
·
Atualizado
2023-11-03
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Maven Metadata para o servidor Jenkins CI, versões 2.1 e anteriores
Descrição
O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque o plugin não escapa o nome e a descrição dos parâmetros “List maven artifact versions” nas visualizações que exibem esses parâmetros. Essa vulnerabilidade pode ser explorada por invasores com permissão Item/Configure. A exploração requer que os parâmetros estejam listados em outra página e que essas páginas não estejam protegidas para impedir a exploração.
Recomendações
Para o Jenkins Maven Metadata Plugin para o servidor Jenkins CI, versões 2.1 e anteriores, considere desativar a listagem de parâmetros nas visualizações que exibem parâmetros até que um patch esteja disponível. Restrinja o acesso aos parâmetros
List maven artifact versions para minimizar o risco de exploração. Certifique-se de que a versão do núcleo do Jenkins esteja atualizada para pelo menos 2.44 ou LTS 2.32.2, o que impede a exploração de vulnerabilidades desse tipo nas páginas “Build With Parameters” e “Parameters”. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Ci Server
Jenkins Maven Metadata Plugin
Jenkins Core