PT-2022-25741 · Jenkins · Jenkins Compuware Common Configuration Plugin+1
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Compuware Common Configuration, versões 1.0.14 e anteriores
Descrição
O problema está relacionado ao fato de o analisador XML não estar configurado para impedir ataques de entidade externa XML (XXE). Isso permite que invasores, capazes de alterar o conteúdo do diretório raiz da CLI do Topaz Workbench nos agentes, façam com que o Jenkins analise um arquivo malicioso que utiliza entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações do lado do servidor.
Recomendações
Para as versões 1.0.14 e anteriores, atualize para uma versão que configure seu analisador XML para impedir ataques XXE.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Compuware Common Configuration Plugin