PT-2022-4029 · Jenkins · Jenkins Job Configuration History Plugin+1

Wadeck Follonier · Publicado 2022-07-27 · Atualizado 2023-11-22 · CVE-2022-36887

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Job Configuration History, versões 1155.v28a 46a cc06a 5 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de falsificação de solicitação entre sites (CSRF). Essa vulnerabilidade pode ser explorada por um invasor remoto para realizar um ataque CSRF, permitindo que ele exclua entradas do histórico de configuração de tarefas, agentes e do sistema, ou restaure versões anteriores das configurações de tarefas, agentes e do sistema.

Recomendações

Para as versões 1155.v28a 46a cc06a 5 e anteriores do Plugin de Histórico de Configuração de Tarefas do Jenkins, atualize para a versão 1156.v536a 97b 8d649 ou posterior, que exige solicitações POST para os pontos de extremidade HTTP afetados, mitigando a vulnerabilidade CSRF.

No momento, não há outras informações sobre medidas de mitigação adicionais para esta vulnerabilidade.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

BDU:2022-04862

CVE-2022-36887

GHSA-J896-J72W-CR32

Produtos afetados

Jenkins

Jenkins Job Configuration History Plugin

Referências · 9

• https://github.com/jenkinsci/job-config-history-plugin/commit/536a97b8d649b3114f5db24ea32a7c63188a35c6 · Nota
• https://jenkins.io/security/advisory/2022-07-27/#SECURITY-2766 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-36887 · Nota de Segurança
• https://t.me/cibsecurity/47109 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-04862 · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/07/27/1 · Nota
• https://osv.dev/vulnerability/CVE-2022-36887 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j896-j72w-cr32 · Aviso do Fabricante
• https://t.me/cvenotify/33856 · Publicação no Telegram