CVE-2022-34177

Jenkins Pipeline: Plugin Input Step, versões 448.v37cea 9a 10a 70 e anteriores

A vulnerabilidade permite que invasores capazes de configurar Pipelines criem ou substituam arquivos arbitrários no sistema de arquivos do controlador Jenkins por conteúdo especificado pelo invasor. Isso ocorre porque o plugin arquiva arquivos enviados para parâmetros file nas etapas de input do Pipeline no controlador como parte dos metadados da compilação, utilizando o nome do parâmetro sem sanitização como um caminho relativo dentro de um diretório relacionado à compilação.

Para o Jenkins Pipeline: Plugin de Etapa de Entrada nas versões 448.v37cea 9a 10a 70 e anteriores, atualize para a versão 449.v77f0e8b 845c4 ou posterior, que proíbe o uso de parâmetros file para etapas de input do Pipeline.

Como solução alternativa temporária, considere restringir a capacidade de configurar Pipelines a usuários confiáveis até que a atualização seja aplicada.