PT-2022-26892 · Jenkins · Jenkins Pipeline: Stage View Plugin+1

Daniel Beck + 2 · Publicado 2022-10-19 · Atualizado 2023-11-01 · CVE-2022-43408

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Jenkins Pipeline: Plugin Stage View, versões 2.26 e anteriores

Descrição

O problema decorre da codificação incorreta do ID das etapas input ao gerar URLs para prosseguir ou abortar compilações do Pipeline, permitindo que invasores capazes de configurar Pipelines especifiquem IDs de etapas input. Isso resulta em URLs que podem contornar a proteção CSRF de qualquer URL de destino no Jenkins.

Recomendações

Para o Jenkins Pipeline: Stage View Plugin versões 2.26 e anteriores, atualize para a versão 2.27 ou posterior para codificar corretamente o ID das etapas input e impedir que a proteção CSRF seja contornada.

Como solução alternativa temporária, considere restringir o acesso à funcionalidade da etapa input até que a atualização seja aplicada.

Correção

CSRF

Enumeração de Fraquezas

CWE-838

CWE-352

Identificadores relacionados

CVE-2022-43408

GHSA-G975-F26H-93G8

RHSA-2023:0560

RHSA-2023:0777

RHSA-2023:1064

RHSA-2023:3198

Produtos afetados

Jenkins

Jenkins Pipeline: Stage View Plugin

Referências · 8

• https://github.com/jenkinsci/pipeline-stage-view-plugin/commit/cee275109ee748fa9f599ec60159807a28a2933f · Nota
• https://t.me/cvenotify/60337 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/10/19/3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-43408 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-10-19/#SECURITY-2828 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-43408 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g975-f26h-93g8 · Aviso do Fabricante
• https://t.me/cibsecurity/51804 · Publicação no Telegram