PT-2022-5837 · Jenkins · Jenkins Git Plugin+1
CVSS v2.0
6.8
Média
| Vetor | AV:N/AC:L/Au:S/C:C/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Git, versões 4.11.3 e anteriores
Descrição
O endpoint do webhook no Jenkins Git Plugin fornece a invasores não autenticados informações sobre a existência de tarefas configuradas para usar um repositório Git especificado pelo invasor. Esse endpoint, localizado em “/git/notifyCommit”, pode ser acessado com solicitações GET e sem autenticação, permitindo que invasores acionem compilações de tarefas usando um repositório Git especificado e façam com que elas façam o check-out de um commit especificado pelo invasor. O parâmetro
sha1 pode ser usado para especificar um ID de commit. A saída do endpoint do webhook fornecerá informações sobre quais tarefas foram acionadas ou agendadas para polling, incluindo tarefas às quais o usuário não tem permissão de acesso. Isso também resulta em uma vulnerabilidade de falsificação de solicitação entre sites (CSRF).Recomendações
Para as versões 4.11.3 e anteriores do Jenkins Git Plugin, atualize para a versão 4.11.4 ou posterior, que requer um parâmetro
token para autenticação do endpoint do webhook. Como solução temporária, considere restringir o acesso ao endpoint /git/notifyCommit para minimizar o risco de exploração. Evite usar o parâmetro sha1 no endpoint da API afetado até que o problema seja resolvido.Correção
Missing Authentication
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Git Plugin