PT-2020-15449 · Jenkins · Jenkins Gitlab Authentication Plugin+1
CVE-2020-2228
·
Publicado
2020-07-15
·
Atualizado
2023-10-25
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin de autenticação Jenkins GitLab, versões 1.5 e anteriores
Descrição
O problema decorre do fato de o plugin não realizar verificações adequadas de autorização de grupos, levando a uma escalada de privilégios. Especificamente, ele não diferencia entre nomes de usuário e nomes de grupos hierárquicos ao realizar a autorização. Isso permite que um invasor com permissões para criar grupos no GitLab obtenha os privilégios concedidos a outro usuário ou grupo.
Recomendações
Para o plugin de autenticação Jenkins GitLab versões 1.5 e anteriores, atualize para a versão 1.6 ou posterior, que realiza verificações de autorização de nomes de usuário e nomes de grupos usando as APIs apropriadas do GitLab.
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Gitlab Authentication Plugin