PT-2022-5835 · Jenkins · Jenkins Git Client Plugin+1

Alex Kurtser + 1 · Publicado 2022-07-27 · Atualizado 2023-11-22 · CVE-2022-36881

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Git Client versões 3.11.0 e anteriores

Descrição

O problema está relacionado à falta de verificação da chave de host SSH ao se conectar a repositórios Git via SSH, o que possibilita ataques man-in-the-middle. Isso se deve a falhas no procedimento de autenticação. A exploração desse problema pode permitir que um invasor remoto execute um ataque man-in-the-middle.

Recomendações

Para as versões 3.11.0 e anteriores do plugin Jenkins Git Client, atualize para a versão 3.11.1 ou posterior, que oferece estratégias para realizar a verificação da chave do host, permitindo que os administradores selecionem aquela que atenda às suas necessidades de segurança.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-322

CWE-295

Identificadores relacionados

BDU:2022-07248

CVE-2022-36881

GHSA-CM7J-P8HC-97VJ

RHSA-2022:7865

RHSA-2023:0017

Produtos afetados

Jenkins

Jenkins Git Client Plugin

Referências · 10

• https://github.com/jenkinsci/git-client-plugin · Nota
• https://github.com/jenkinsci/git-client-plugin/commit/88f52c6c9b18bca4ad210e3b9910a49433583fd9 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-36881 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-07-27/#SECURITY-284 · Nota
• https://jenkins.io/security/advisory/2022-07-27/#SECURITY-1468 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-36881 · Aviso do Fabricante
• https://vuldb.com/ru/?id.205163 · Nota
• https://bdu.fstec.ru/vul/2022-07248 · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/07/27/1 · Nota
• https://osv.dev/vulnerability/GHSA-cm7j-p8hc-97vj · Aviso do Fabricante