PT-2024-35375

CVE-2024-52553

Publicado

2024-11-13

Atualizado

2024-11-15

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin de autenticação Jenkins OpenId Connect, versões 4.418.vccc7061f5b 6d e anteriores

Descrição

O problema ocorre porque o plugin não invalida a sessão anterior no momento do login, permitindo que invasores possam usar técnicas de engenharia social para obter acesso de administrador ao Jenkins.

Recomendações

Para o plugin de autenticação Jenkins OpenId Connect nas versões 4.418.vccc7061f5b 6d e anteriores, atualize para a versão 4.421.v5422614eb e0a ou posterior para garantir que a sessão existente seja invalidada no login.

Explorabilidade

Correção

Impactos

Pesquisadores

Kevin Guerroudj

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-613: Insufficient Session Expiration

CWE-384: Session Fixation

Identificadores relacionados

CVE-2024-52553