CVE-2022-41249

Plugin Jenkins SCM HttpClient, versões 1.5 e anteriores

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a um servidor HTTP especificado por eles usando IDs de credenciais fornecidas por eles, capturando credenciais armazenadas no Jenkins. A vulnerabilidade se deve à falta de verificação de permissão em um método que implementa a validação de formulários, o que pode ser explorado por invasores com permissão Geral/Leitura. Esse método de validação de formulários não requer solicitações POST, resultando na vulnerabilidade CSRF.

Para as versões 1.5 e anteriores do plugin Jenkins SCM HttpClient, considere desativar o plugin até que um patch esteja disponível para impedir que invasores explorem a vulnerabilidade CSRF. Restrinja o acesso ao método de validação de formulário para minimizar o risco de exploração. Evite usar os IDs de credenciais no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.