CVE-2021-21679

Plugin Jenkins Azure AD, versões 164.v5b48baa961d2 a 179.vf6841393099e

A vulnerabilidade permite que invasores criem URLs que contornariam a proteção CSRF de qualquer URL de destino no Jenkins. Isso se deve a uma implementação excessivamente permissiva de um ponto de extensão no Jenkins Azure AD Plugin, que se destina a desativar seletivamente a proteção contra falsificação de solicitações entre sites (CSRF) para URLs específicas. A vulnerabilidade foi introduzida originalmente no Azure AD Plugin 164.v5b48baa961d2.

Para as versões do Jenkins Azure AD Plugin de 164.v5b48baa961d2 a 179.vf6841393099e, atualize para a versão 180.v8b1e80e6f242 ou posterior, que não permite mais contornar a proteção CSRF para URLs usadas pelo componente JavaScript. Como solução alternativa temporária, considere reconfigurar o componente JavaScript para passar o token CSRF esperado até que um patch esteja disponível.