PT-2020-15558 · Jenkins · Jenkins Cas Plugin+1
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin CVS do Jenkins, versões 2.16 e anteriores
Descrição
A vulnerabilidade permite que invasores capazes de controlar um processo de agente façam com que o Jenkins analise um arquivo de changelog malicioso, utilizando entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações do lado do servidor, devido ao analisador XML não estar configurado para impedir ataques de entidade externa XML (XXE).
Recomendações
Para as versões 2.16 e anteriores do Jenkins CVS Plugin, atualize para a versão 2.17 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.
Correção
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Cas Plugin