PT-2024-35375 · Jenkins · Jenkins Openid Connect Authentication Plugin+1

Kevin Guerroudj · Publicado 2024-11-13 · Atualizado 2024-11-15 · CVE-2024-52553

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin de autenticação Jenkins OpenId Connect, versões 4.418.vccc7061f5b 6d e anteriores

Descrição

O problema ocorre porque o plugin não invalida a sessão anterior no momento do login, permitindo que invasores possam usar técnicas de engenharia social para obter acesso de administrador ao Jenkins.

Recomendações

Para o plugin de autenticação Jenkins OpenId Connect nas versões 4.418.vccc7061f5b 6d e anteriores, atualize para a versão 4.421.v5422614eb e0a ou posterior para garantir que a sessão existente seja invalidada no login.

Correção

Insufficient Session Expiration

Session Fixation

Enumeração de Fraquezas

CWE-613

CWE-384

Identificadores relacionados

CVE-2024-52553

GHSA-H23J-73WW-7594

Produtos afetados

Jenkins

Jenkins Openid Connect Authentication Plugin

Referências · 9

• https://github.com/jenkinsci/oic-auth-plugin · Nota
• https://osv.dev/vulnerability/GHSA-h23j-73ww-7594 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-52553 · Nota de Segurança
• https://t.me/cvedetector/10881 · Publicação no Telegram
• https://safe-surf.ru/specialists/bulletins-nkcki/714355 · Nota de Segurança
• https://jenkins.io/security/advisory/2024-11-13/#SECURITY-3473 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1856828011905257622 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1856836348574896448 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-52553 · Aviso do Fabricante