CVE-2022-30971

Plugin Jenkins Storable Configs, versões 1.0 e anteriores

O problema decorre do fato de o plugin não configurar seu analisador XML para impedir ataques de entidade externa XML (XXE). Isso permite que invasores com permissão Item/Configure façam com que o Jenkins analise um arquivo malicioso que utiliza entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações do lado do servidor.

Para as versões 1.0 e anteriores do plugin Jenkins Storable Configs, considere desativar a configuração do analisador XML até que um patch esteja disponível para prevenir ataques XXE. Restrinja o acesso à configuração do plugin para minimizar o risco de exploração. Evite usar o plugin para analisar arquivos criados especificamente que possam conter entidades externas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.