PT-2020-15486 · Jenkins · Jenkins Perfecto Plugin+1
CVE-2020-2261
·
Publicado
2020-09-16
·
Atualizado
2023-10-25
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Perfecto do Jenkins, versões 1.17 e anteriores
Descrição
A vulnerabilidade permite que invasores com permissão de Job/Configure executem comandos arbitrários no controlador do Jenkins. Isso é possível porque o plugin Perfecto executa um comando no controlador do Jenkins. O plugin permite especificar o Perfecto Connect Path e o Perfecto Connect File Name nas configurações de tarefa, que são então executadas no controlador do Jenkins nas versões 1.17 e anteriores.
Recomendações
Para as versões 1.17 e anteriores do plugin Jenkins Perfecto, atualize para a versão 1.18 ou posterior, que executa os comandos especificados no agente em que a compilação está sendo executada, mitigando o risco de execução de comandos arbitrários no controlador do Jenkins.
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Perfecto Plugin