PT-2022-22078 · Jenkins · Jenkins Beaker Builder Plugin+1

Justin Philip · Publicado 2022-06-22 · Atualizado 2023-11-03 · CVE-2022-34208

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Beaker Builder, versões 1.10 e anteriores

Descrição

A ausência de uma verificação de permissão no plugin Jenkins Beaker Builder permite que invasores com permissão “Overall/Read” se conectem a uma URL especificada pelo invasor. Esse problema também resulta em uma vulnerabilidade de falsificação de solicitação entre sites (CSRF), pois o método de validação de formulário não exige solicitações POST.

Recomendações

Para as versões 1.10 e anteriores do plugin Jenkins Beaker Builder, como solução temporária, considere restringir o acesso ao método de validação de formulários do plugin até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-34208

GHSA-XFJQ-5M4W-CC6H

Produtos afetados

Jenkins

Jenkins Beaker Builder Plugin

Referências · 7

• https://github.com/jenkinsci/beaker-builder-plugin · Nota
• https://jenkins.io/security/advisory/2022-06-22/#SECURITY-2248 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-34208 · Aviso do Fabricante
• https://t.me/cvenotify/60501 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-xfjq-5m4w-cc6h · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34208 · Nota de Segurança
• https://t.me/cibsecurity/45040 · Publicação no Telegram