CVE-2022-45385

Plugin de notificação do Jenkins CloudBees Docker Hub/Registry, versões 2.6.2 e anteriores

A ausência de uma verificação de permissão no plugin de notificação do Jenkins CloudBees Docker Hub/Registry permite que invasores não autenticados acionem compilações de tarefas correspondentes ao repositório especificado pelo invasor. O plugin fornece vários pontos de extremidade de webhook que podem ser usados para acionar compilações quando imagens do Docker usadas por um trabalho forem recompiladas, e esses pontos de extremidade podem ser acessados sem autenticação. Isso permite que invasores não autenticados acionem compilações de trabalhos correspondentes ao repositório especificado pelo invasor.

Para as versões 2.6.2 e anteriores do Jenkins CloudBees Docker Hub/Registry Notification Plugin, atualize para a versão 2.6.2.1 ou posterior, que exige um token como parte das URLs de webhook, atuando como autenticação para o endpoint do webhook. Como solução alternativa temporária, considere definir a propriedade do sistema Java org.jenkinsci.plugins.registry.notification.webhook.JSONWebHook.DO NOT REQUIRE API TOKEN como false para habilitar a exigência de um token de API, mas esteja ciente de que defini-la como true desativaria essa correção de segurança.