PT-2024-1424 · Jenkins+1 · Jenkins Gitlab Branch Source Plugin+2
Francois Marot
·
Publicado
2024-01-24
·
Atualizado
2024-04-11
·
CVE-2024-23901
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins GitLab Branch Source, versões 684.vea fa 7c1e2fe3 e anteriores
Descrição
O problema está relacionado a um controle de acesso insuficiente no Jenkins GitLab Branch Source Plugin. Isso permite que invasores configurem e compartilhem um projeto, resultando na construção de um Pipeline malicioso pelo Jenkins durante a próxima verificação do grupo. O plugin descobre incondicionalmente projetos que são compartilhados com o grupo de proprietários configurado, permitindo que invasores remotos explorem essa vulnerabilidade.
Recomendações
Para as versões 684.vea fa 7c1e2fe3 e anteriores do plugin Jenkins GitLab Branch Source, considere atualizar para uma versão que inclua a nova característica “Descobrir projetos compartilhados” para mitigar o risco de exploração, como o plugin GitLab Branch Source 688.v5fa 356ee8520. Como solução alternativa temporária, restrinja a capacidade do plugin de descobrir projetos compartilhados com o grupo de proprietários configurado até que um patch seja aplicado.
Correção
Improper Access Control
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Gitlab Branch Source Plugin
Red Os