PT-2020-15403 · Jenkins · Jenkins Scm Filter Jervis Plugin+1
CVE-2020-2189
·
Publicado
2020-05-06
·
Atualizado
2023-10-25
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Jenkins SCM Filter Jervis, versões 0.2.1 e anteriores
Descrição
O problema decorre do fato de o analisador YAML não estar configurado para impedir a instanciação de tipos arbitrários, o que leva a uma vulnerabilidade de execução remota de código. Essa vulnerabilidade pode ser explorada por usuários que possam configurar tarefas com o filtro ou controlar o conteúdo do repositório SCM de uma tarefa previamente configurada.
Recomendações
Para o Jenkins SCM Filter Jervis Plugin versões 0.2.1 e anteriores, atualize para a versão 0.3 ou posterior, que configura seu analisador YAML para instanciar apenas tipos seguros.
Correção
RCE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Scm Filter Jervis Plugin