PT-2024-22301 · Jenkins · Jenkins Appspider Plugin+1

Kevin Guerroudj · Publicado 2024-03-06 · Atualizado 2025-01-19 · CVE-2024-28155

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins AppSpider, versões 1.0.16 e anteriores

Descrição

A vulnerabilidade permite que invasores com permissão de nível geral/leitura obtenham informações sobre nomes de configurações de varredura disponíveis, nomes de grupos de motores e nomes de clientes, devido à falta de verificações de permissão em vários pontos de extremidade HTTP.

Recomendações

Para as versões 1.0.16 e anteriores do plugin Jenkins AppSpider, como solução temporária, considere restringir o acesso aos pontos de extremidade HTTP afetados até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-28155

GHSA-XXV9-W5HM-328J

Produtos afetados

Jenkins

Jenkins Appspider Plugin

Referências · 9

• https://github.com/jenkinsci/appspider-build-scanner-plugin · Nota
• https://github.com/jenkinsci/appspider-build-scanner-plugin/commit/1677f098fbe4c71d782fc4c7bab5f972c575a86d · Nota
• https://osv.dev/vulnerability/GHSA-xxv9-w5hm-328j · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-28155 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-28155 · Nota de Segurança
• https://jenkins.io/security/advisory/2024-03-06/#SECURITY-3144 · Aviso do Fabricante
• https://t.me/cvenotify/73152 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2024/03/06/3 · Nota
• https://t.me/cvenotify/107877 · Publicação no Telegram