CVE-2022-36908

Plugin Jenkins OpenShift Deployer, versões 1.2.0 e anteriores

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores verifiquem a existência de um caminho de arquivo especificado pelo invasor no sistema de arquivos do controlador Jenkins e enviem um arquivo de chave SSH do sistema de arquivos do controlador Jenkins para uma URL especificada pelo invasor. O problema está relacionado à autenticação insuficiente de solicitações, o que pode ser explorado por um invasor remoto para realizar ações arbitrárias no dispositivo vulnerável. A vulnerabilidade também está associada à falta de verificações de permissão nos métodos de validação de formulários, que não exigem solicitações POST.

Para as versões 1.2.0 e anteriores do Jenkins OpenShift Deployer Plugin, considere desativar os métodos de validação de formulários que não exigem solicitações POST como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao sistema de arquivos do controlador Jenkins para minimizar o risco de exploração. Evite usar o plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.