PT-2024-7984 · Jenkins · Jenkins Openid Connect Authentication Plugin+1

James Nord

·

Publicado

2024-10-01

·

Atualizado

2024-10-07

·

CVE-2024-47807

CVSS v4.0

9.2

Crítica

VetorAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Nome do software vulnerável e versões afetadas
Plugin de autenticação Jenkins OpenId Connect, versões 4.354.v321ce67a 1de8 e anteriores
Descrição
O problema está relacionado a uma falha no procedimento de autenticação do plugin Jenkins OpenId Connect. Essa falha permite que um invasor remoto contorne o processo de autenticação, explorando a falta de verificação da reivindicação iss (Emissor) em um token de identificação. Isso poderia potencialmente conceder ao invasor acesso de administrador ao Jenkins.
Recomendações
Para as versões 4.354.v321ce67a 1de8 e anteriores do plugin de autenticação Jenkins OpenId Connect, atualize para a versão 4.355.v3a fb fca b 96d4 ou posterior, que inclui uma correção para este problema, verificando a reivindicação iss (Emissor) de um token de identificação durante o fluxo de autenticação quando o emissor é conhecido.
Como solução alternativa temporária, considere restringir o acesso ao fluxo de autenticação do Jenkins para minimizar o risco de exploração até que a atualização possa ser aplicada.

Correção

Improper Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-09497
CVE-2024-47807
GHSA-8PJW-FFF6-3MJV

Produtos afetados

Jenkins
Jenkins Openid Connect Authentication Plugin