PT-2022-27946 · Jenkins · Jenkins Plot Plugin+1

Cc Bomber + 1 · Publicado 2022-12-07 · Atualizado 2022-12-12 · CVE-2022-46682

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Plot, versões 2.1.11 e anteriores

Descrição

A vulnerabilidade permite que invasores capazes de controlar arquivos de entrada XML para a etapa de compilação “Plot build data” façam com que o Jenkins analise um arquivo malicioso que utiliza entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. Isso ocorre porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE).

Recomendações

Para as versões 2.1.11 e anteriores do Jenkins Plot Plugin, atualize para a versão 2.1.12 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2022-46682

GHSA-WGPP-G6V9-7HXP

Produtos afetados

Jenkins

Jenkins Plot Plugin

Referências · 8

• https://github.com/jenkinsci/plot-plugin/commit/4f7afbe064aab538a242a9984e583e513863e0ac · Nota
• https://github.com/jenkinsci/plot-plugin · Nota
• https://jenkins.io/security/advisory/2022-12-07/#SECURITY-2940 · Aviso do Fabricante
• https://t.me/cvenotify/39674 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-46682 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-wgpp-g6v9-7hxp · Aviso do Fabricante
• https://t.me/cvenotify/39616 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-46682 · Aviso do Fabricante