CVE-2020-2196

Plugin Jenkins Selenium, versões 3.141.59 e anteriores

A vulnerabilidade diz respeito à falta de proteção contra CSRF (Cross-Site Request Forgery) para endpoints HTTP no plugin Jenkins Selenium, permitindo que invasores realizem ações administrativas. Especificamente, isso permite que invasores reiniciem o hub do Selenium Grid, excluam ou substituam a configuração do plugin e iniciem, parem ou reiniciem configurações do Selenium em nós específicos. Por meio de parâmetros de configuração cuidadosamente selecionados, essas ações podem resultar na injeção de comandos do sistema operacional no controlador do Jenkins.

Para as versões 3.141.59 e anteriores do plugin Jenkins Selenium, considere desativar o acesso aos pontos de extremidade HTTP do plugin até que uma correção esteja disponível para evitar possíveis explorações. Restringir alterações de configuração e gerenciamento de nós também pode ajudar a minimizar o risco. Como solução alternativa temporária, limite a capacidade de reiniciar o hub do Selenium Grid e modificar as configurações do plugin apenas ao pessoal autorizado.