PT-2022-27952 · Jenkins · Jenkins Sonar Gerrit Plugin+1

Oleg Nenashev · Publicado 2022-12-07 · Atualizado 2022-12-14 · CVE-2022-46688

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Sonar Gerrit, versões 377.v8f3808963dc5 e anteriores

Descrição

Uma vulnerabilidade do tipo falsificação de solicitação entre sites (CSRF) permite que invasores façam com que o Jenkins se conecte aos servidores Gerrit utilizando IDs de credenciais especificadas por eles, podendo capturar credenciais armazenadas no Jenkins. Isso poderia ser feito por invasores que obtivessem IDs de credenciais por meio de outro método.

Recomendações

Para as versões 377.v8f3808963dc5 e anteriores do Jenkins Sonar Gerrit Plugin, como solução temporária, considere restringir o acesso ao plugin até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-46688

GHSA-M82G-FV7V-H64M

Produtos afetados

Jenkins

Jenkins Sonar Gerrit Plugin

Referências · 8

• https://github.com/jenkinsci/sonar-gerrit-plugin · Nota
• https://github.com/jenkinsci/sonar-gerrit-plugin/commit/f4646d4df0870bd06b76de86309bb38fbd929d54 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-46688 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-12-07/#SECURITY-1002 · Aviso do Fabricante
• https://t.me/cvenotify/39900 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m82g-fv7v-h64m · Aviso do Fabricante
• https://t.me/cvenotify/39610 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-46688 · Aviso do Fabricante