PT-2022-4018 · Compuware+1 · Jenkins Compuware Ispw Operations Plugin+1

CVE-2022-36899 · Publicado 2022-07-27 · Atualizado 2023-11-02

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:C/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Compuware ISPW Operations, versões 1.0.8 e anteriores

Descrição

O problema está relacionado ao Jenkins Compuware ISPW Operations Plugin, que não restringe a execução de uma mensagem do controlador/agente aos agentes. Isso permite que invasores capazes de controlar processos de agente recuperem propriedades do sistema Java. A vulnerabilidade pode ser explorada por invasores para obter acesso não autorizado a informações de configuração do sistema.

Recomendações

Para o Jenkins Compuware ISPW Operations Plugin versões 1.0.8 e anteriores, atualize para a versão 1.0.9 ou posterior, que não permite que a mensagem controlador/agente afetada seja enviada pelos agentes para execução no controlador. Como solução alternativa temporária, considere restringir o acesso à mensagem controlador/agente para impedir a exploração.

Correção

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-693

Identificadores relacionados

BDU:2022-04851

CVE-2022-36899

GHSA-57F2-52WJ-7VJ6

Produtos afetados

Jenkins

Jenkins Compuware Ispw Operations Plugin

Referências · 9

• https://github.com/jenkinsci/compuware-ispw-operations-plugin · Nota
• https://t.me/cvenotify/33851 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-36899 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-07-27/#SECURITY-2629 · Aviso do Fabricante
• https://t.me/cibsecurity/47112 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/07/27/1 · Nota
• https://osv.dev/vulnerability/GHSA-57f2-52wj-7vj6 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-04851 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-36899 · Aviso do Fabricante