CVE-2021-21607

Versões 2.274 e anteriores do Jenkins

Versões LTS 2.263.1 e anteriores do Jenkins

A vulnerabilidade permite que invasores solicitem URLs maliciosas que utilizam toda a memória disponível no Jenkins, podendo causar erros de falta de memória. Isso ocorre devido à ausência de limitação no tamanho dos parâmetros de consulta fornecidos às URLs de renderização de gráficos. O Jenkins renderiza vários gráficos diferentes para recursos como estatísticas de uso de agentes e rótulos, uso de memória ou diversas estatísticas fornecidas por plug-ins. Os invasores podem explorar isso solicitando, ou fazendo com que usuários legítimos do Jenkins solicitem, URLs criadas especificamente para esgotar rapidamente toda a memória disponível.

Para as versões 2.274 e anteriores do Jenkins, atualize para a versão 2.275 ou posterior para limitar o tamanho máximo dos gráficos.

Para as versões LTS do Jenkins 2.263.1 e anteriores, atualize para a versão 2.263.2 ou posterior para limitar o tamanho máximo dos gráficos.

Como solução alternativa temporária, considere definir a propriedade do sistema Java hudson.util.Graph.maxArea com um número diferente na inicialização para configurar o limite para o tamanho máximo dos gráficos.