Jenkins公告多款插件存在高危漏洞(2020.8.12)

admin 2020年8月13日18:00:50评论1,472 views字数 1925阅读6分25秒阅读模式

Jenkins官方发布公告,修复主框架及多款插件存在的安全漏洞。漏洞可能导致跨站脚本(XSS)攻击、跨站点请求伪造(CSRF)攻击,或密码泄露。腾讯安全专家建议用户参考通告内容,将存在风险的插件升级到安全版本。


Jenkins是一款由Java编写的开源的持续集成工具。Jenkins提供了软件开发的持续集成服务。

 

Jenkins公告存在漏洞的组件(主框架、插件)包括:

组件名称

风险等级

存在漏洞的版本

修复版本

Jenkins weekly

<2.251

2.252

Jenkins LTS

<2.235.3

2.235.4

Email Extension Plugin

<2.73

 

2.74

Flaky Test Handler Plugin

<1.0.4

 

待修复

Pipeline Maven Integration Plugin

<3.8.2

 

3.8.3

Yet Another Build Visualizer Plugin

<1.11

 

1.12

 

以下为漏洞详情

 

1.CVE-2020-2229|Stored XSS vulnerability in help icons

 

漏洞等级:高

 

影响版本:

Jenkins2.251和更早的版本,LTS 2.235.3和更早版本

 

漏洞导致跨站脚本(XSS)攻击。

 

2.CVE-2020-2230|Stored XSS vulnerability in project naming strategy

 

漏洞等级:高

 

影响版本:

Jenkins2.251和更早版本,LTS 2.235.3和更早版本

 

漏洞导致跨站脚本(XSS)攻击。

 

3.CVE-2020-2231|Stored XSS vulnerability in 'Trigger builds remotely'

 

漏洞等级:高

 

影响版本:

Jenkins 2.251及更早版本,LTS 2.235.3及更早版本

 

漏洞导致跨站脚本(XSS)攻击。

 

4.CVE-2020-2232|SMTP password transmitted and displayed in plain textby Email Extension Plugin

 

漏洞等级:低

 

影响版本:

EmailExtension Plugin

 

电子邮件扩展插件将SMTP密码存储在Jenkins主服务器上的全局配置文件中hudson.plugins.emailext.ExtendedEmailPublisher.xml。

 

当此密码以加密方式存储在磁盘上时,它会通过电子邮件扩展插件2.72和2.73作为配置表单的一部分以纯文本形式传输和显示。这将导致密码泄露。

 

5.CVE-2020-2233|Missing permission check in Pipeline Maven IntegrationPlugin allows enumerating credentials IDs

 

PipelineMaven集成插件缺少权限检查,可以枚举凭据ID

 

漏洞等级:中

 

影响版本:

PipelineMaven集成插件3.8.2和更早版本

 

6.CVE-2020-2234 (permission check), CVE-2020-2235 (CSRF)

CSRF vulnerability and missing permission check in Pipeline MavenIntegration Plugin allow capturing credentials

 

PipelineMaven集成插件中的CSRF漏洞和缺少权限检查允许捕获凭据

 

漏洞等级:高

 

影响版本:

PipelineMaven集成插件3.8.2和更早版本

 

表单验证的方法中不执行权限检查,攻击者可能捕获存储在Jenkins中的凭据。

 

此外,此表单验证方法不需要POST请求,从而导致跨站点请求伪造(CSRF)漏洞。

 

7.CVE-2020-2236|Stored XSS vulnerability in Yet Another BuildVisualizer Plugin

 

BuildVisualizer插件中的XSS漏洞

 

漏洞等级:高

 

影响版本:

BuildVisualizer插件1.11和更早版本

 

8.CVE-2020-2237|CSRF vulnerability in Flaky Test Handler Plugin

 

Flaky测试处理程序插件中的CSRF漏洞

 

漏洞等级:中

 

影响版本:

Flaky TestHandler Plugin 1.0.4和更早版本

 

不需要“ Deflake this build”功能的POST请求,从而导致跨站点请求伪造(CSRF)漏洞。

 

参考链接:

https://www.jenkins.io/security/advisory/2020-08-12/#SECURITY-1957

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年8月13日18:00:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Jenkins公告多款插件存在高危漏洞(2020.8.12)https://cn-sec.com/archives/87474.html

发表评论

匿名网友 填写信息