PT-2021-14700 · Jenkins · Jenkins Filesystem Trigger Plugin+1
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Filesystem Trigger, versões 0.40 e anteriores
Descrição
A vulnerabilidade permite que invasores com permissão de Job/Configure ou aqueles capazes de controlar o conteúdo de um arquivo XML que está sendo monitorado por alterações façam com que o Jenkins analise um documento XML malicioso. Isso pode levar à extração de segredos do controlador ou agente do Jenkins responsável pela monitorização, falsificação de solicitações no lado do servidor ou ataques de negação de serviço. O problema surge porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE).
Recomendações
Para as versões 0.40 e anteriores do plugin Jenkins Filesystem Trigger, atualize para a versão 0.41 ou posterior, que desativa a resolução de entidades externas para seu analisador XML.
Correção
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Filesystem Trigger Plugin