PT-2022-4021 · Jenkins · Jenkins External Monitor Job Type Plugin+1

Daniel Beck · Publicado 2022-07-27 · Atualizado 2023-11-22 · CVE-2022-36886

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins External Monitor Job Type, versões 191.v363d0d1efdf8 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no plugin Jenkins External Monitor Job Type permite que invasores criem execuções de uma tarefa externa. Esse problema ocorre porque o plugin não exige solicitações POST para um endpoint HTTP específico, tornando-o vulnerável a ataques CSRF. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados em todo o mundo nem detalhes sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para as versões 191.v363d0d1efdf8 e anteriores do plugin Jenkins External Monitor Job Type, atualize para a versão 192.ve979ca 8b 3ccd ou posterior, que exige solicitações POST para o endpoint HTTP afetado, mitigando assim a vulnerabilidade CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

BDU:2022-04854

CVE-2022-36886

GHSA-6X63-HRXG-2HJX

Produtos afetados

Jenkins

Jenkins External Monitor Job Type Plugin

Referências · 8

• https://github.com/jenkinsci/external-monitor-job-plugin/commit/e979ca8b3ccd8cf2b098533e1529d104b6bfd7da · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-36886 · Nota de Segurança
• https://t.me/cibsecurity/47071 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-36886 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6x63-hrxg-2hjx · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-07-27/#SECURITY-2762 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-04854 · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/07/27/1 · Nota