CVE-2022-43416

Plugin Katalon para Jenkins, versões 1.0.32 e anteriores

A vulnerabilidade permite que invasores capazes de controlar processos de agente invoquem o Katalon no controlador Jenkins com versão, local de instalação e argumentos controlados pelo invasor. Além disso, invasores capazes de criar arquivos no controlador Jenkins, como aqueles com permissão Item/Configure, podem invocar comandos arbitrários do sistema operacional. Isso se deve a uma mensagem entre agente e controlador que não limita onde pode ser executada e permite invocar o Katalon com argumentos configuráveis.

Para as versões 1.0.32 e anteriores do plugin Katalon do Jenkins, atualize para a versão 1.0.33 ou posterior, que altera o tipo de mensagem para controlador-para-agente, impedindo a execução no controlador. Como solução alternativa temporária, considere restringir o acesso ao plugin Katalon para minimizar o risco de exploração. Evite usar o plugin Katalon com argumentos configuráveis até que o problema seja resolvido.