PT-2025-5355
CVE-2025-24397
·
تاريخ النشر
2025-01-22
·
تاريخ التحديث
2025-10-03
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
مكوّن Jenkins GitLab الإضافي، الإصدارات 1.9.6 وما قبلها
الوصف
تتعلق المشكلة بفحص غير صحيح للأذونات في مكوّن Jenkins GitLab الإضافي. وهذا يسمح للمهاجمين الذين يمتلكون أذونات عامة من نوع «Item/Configure»، ولكن دون أذونات «Item/Configure» في أي مهمة محددة، بتعداد معرّفات بيانات اعتماد رمز GitLab API وبيانات الاعتماد النصية السرية المخزنة في Jenkins. ويمكن استخدام معرّفات بيانات الاعتماد هذه كجزء من هجوم لسرقة بيانات الاعتماد باستخدام ثغرة أمنية أخرى.
التوصيات
بالنسبة للإصدارات 1.9.6 وما قبلها من المكون الإضافي Jenkins GitLab، قم بالتحديث إلى الإصدار 1.9.7 أو أحدث لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الصلاحية العامة Item/Configure لتقليل مخاطر الاستغلال. بالإضافة إلى ذلك، قم بتقييد الوصول إلى نقطة النهاية HTTP المرتبطة بالمكون الإضافي GitLab لمنع تعداد معرّفات بيانات الاعتماد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾