PT-2022-25752 · Jenkins · Jenkins Dotci Plugin+1

Publicado 2022-09-21 · Atualizado 2025-05-28 · CVE-2022-41237

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins DotCi, versões 2.40.00 e anteriores

Descrição

O problema decorre do fato de o plugin Jenkins DotCi não configurar seu analisador YAML para impedir a instanciação de tipos arbitrários, resultando em uma vulnerabilidade de execução remota de código. Essa vulnerabilidade pode ser explorada por invasores capazes de modificar arquivos .ci.yml no SCM.

Recomendações

Para as versões 2.40.00 e anteriores do plugin Jenkins DotCi, considere desativar o plugin até que um patch esteja disponível para impedir a execução remota de código. Restrinja o acesso para modificar arquivos .ci.yml no SCM para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2022-41237

GHSA-X3JJ-RGW9-7R5G

Produtos afetados

Jenkins

Jenkins Dotci Plugin

Referências · 9

• https://github.com/jenkinsci/DotCi · Nota
• https://osv.dev/vulnerability/CVE-2022-41237 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-09-21/#SECURITY-1737 · Aviso do Fabricante
• https://plugins.jenkins.io/DotCi · Nota
• https://t.me/cibsecurity/50209 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-41237 · Nota de Segurança
• https://jenkins.io/security/plugins/#suspensions · Nota
• https://t.me/cvenotify/123870 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-x3jj-rgw9-7r5g · Aviso do Fabricante