PT-2022-4024 · Jenkins · Jenkins Coverity Plugin+1

CVE-2022-36920 · Publicado 2022-07-27 · Atualizado 2023-11-02

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Coverity do Jenkins, versões 1.11.4 e anteriores

Descrição

Uma vulnerabilidade do tipo falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a uma URL especificada por eles, utilizando IDs de credenciais fornecidas por eles mesmos, podendo assim capturar credenciais armazenadas no Jenkins. Isso pode ser explorado por um invasor remoto para realizar um ataque CSRF.

Recomendações

Para as versões 1.11.4 e anteriores do Jenkins Coverity Plugin, considere desativar o plugin até que uma correção esteja disponível para evitar possíveis ataques CSRF. Restrinja o acesso a credenciais e URLs confidenciais para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

BDU:2022-04857

CVE-2022-36920

GHSA-5X3F-7M52-9CGF

Produtos afetados

Jenkins

Jenkins Coverity Plugin

Referências · 9

• https://github.com/jenkinsci/coverity-plugin · Nota
• https://jenkins.io/security/advisory/2022-07-27/#SECURITY-2790%20(2) · Nota
• https://osv.dev/vulnerability/GHSA-5x3f-7m52-9cgf · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-36920 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-07-27/#SECURITY-2790%20%282%29 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/07/27/1 · Nota
• https://t.me/cibsecurity/47104 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-04857 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-36920 · Aviso do Fabricante