CVE-2022-43435

Plugin Jenkins 360 FireLine, versões 1.7.2 e anteriores

O problema diz respeito ao plugin Jenkins 360 FireLine, que desativa programaticamente a proteção da Política de Segurança de Conteúdo (Content-Security-Policy) para conteúdos gerados pelo usuário em espaços de trabalho, artefatos arquivados etc., que o Jenkins disponibiliza para download. Isso permite ataques de cross-site scripting (XSS) por usuários com capacidade de controlar arquivos em espaços de trabalho, artefatos arquivados, etc., quando a etapa de compilação “Execute FireLine” é executada e a opção “Acesso aberto a HTML com JS ou CSS” está marcada. Instâncias do Jenkins com uma URL de raiz de recursos configurada não são afetadas.

Para as versões 1.7.2 e anteriores do plugin Jenkins 360 FireLine, considere desativar a opção “Abrir acesso a HTML com JS ou CSS” na etapa de compilação “Executar FireLine” para minimizar o risco de exploração. Além disso, evite usar o DirectoryBrowserSupport para servir arquivos estáticos até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.