PT-2022-22370 · Jenkins · Jenkins Failed Job Deactivator Plugin+1

Publicado 2022-06-30 · Atualizado 2023-11-22 · CVE-2022-34818

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Failed Job Deactivator, versões 1.2.1 e anteriores

Descrição

O problema diz respeito à ausência de verificações de permissão em várias visualizações e pontos de extremidade HTTP, permitindo que invasores com permissão Geral/Leitura desativem tarefas. Além disso, os pontos de extremidade estão vulneráveis a falsificação de solicitações entre sites (CSRF), uma vez que não exigem solicitações POST.

Recomendações

Para o plugin Jenkins Failed Job Deactivator nas versões 1.2.1 e anteriores, como solução temporária, considere restringir o acesso aos pontos de extremidade HTTP vulneráveis até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-34818

GHSA-HCJR-6JQ3-392P

Produtos afetados

Jenkins

Jenkins Failed Job Deactivator Plugin

Referências · 5

• https://github.com/jenkinsci/failedjobdeactivator-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-34818 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-34818 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hcjr-6jq3-392p · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-06-30/#SECURITY-2061 · Aviso do Fabricante