Vulnérabilités dans des plugins Jenkins

Plusieurs vulnérabilités critiques affectant le logiciel d’intégration continue Jenkins ont été corrigées.

CVE-2020-2315 [Score CVSS v3 : 7.1] : Une vulnérabilité affectant les versions inférieures à 1.1.3 du plugin VisualWorks Store peut permettre à un attaquant authentifié et à distance d’extraire des informations sensibles du contrôleur Jenkins. Cette vulnérabilité repose sur la non-vérification du contenu des requêtes XML avant traitement. Un attaquant peut alors perpétrer une attaque d'entité externe XML en faisant traiter à Jenkins un fichier contenant des requêtes XML vers des entités externes, permettant ainsi l’extraction de données.

CVE-2020-2316 [Score CVSS v3 : 8.0] : Le plugin Static Analysis Utilities <= v1.96 contient une vulnérabilité pouvant permettre à un attaquant distant et authentifié de procéder à une attaque de type cross-site scripting (XSS).

CVE-2020-2317 [Score CVSSv3 : 8.0] : Le plugin FindBugs <= v5.0.0 contient une vulnérabilité pouvant permettre à un attaquant distant et authentifié de procéder à une attaque de type cross-site scripting (XSS).

CVE-2020-2300 [Score CVSS v3 : 8.1] : Le mode ADSI on Windows du plugin Active Directory <= v2.19 autorise l’authentification avec le champ mot de passe vide. Si l’option “unauthenticated bind operation” est activée sur le serveur Active Directory, un attaquant peut se connecter sur Jenkins sans utiliser mot de passe comme tout utilisateur.

CVE-2020-2305 [Score CVSS v3 :  7.1] : Une vulnérabilité affectant le plugin Mercuriel <= v2.11 peut permettre à un attaquant authentifié et à distance d’extraire des informations sensibles du contrôleur Jenkins. Cette vulnérabilité repose sur la non-vérification du contenu des requêtes XML avant traitement. Un attaquant peut alors perpétrer une attaque d'entité externe XML en faisant traiter à Jenkins un fichier contenant des requêtes XML vers des entités externes, permettant ainsi l’extraction de données.

CVE-2020-2299 [Score CVSS v3 : 9.8] : Le mode “LDAP-based” du plugin Active Directory <= v2.19 est vulnérable. La recherche d’utilisateur et l’authentification de ses derniers partagent une partie de leur code ensemble, le plugin différencie ces étapes par une constante magique. L’exploitation de cette faille par un attaquant distant et non-authentifié lui permet de se connecter en tant qu’utilisateur en remplissant le champ mot de passe avec la constante magique.

CVE-2020-2304 [Score CVSS v3 : 7.1] : Une vulnérabilité affectant le plugin Subversion <= v2.13.1 peut permettre à un attaquant authentifié et à distance d’extraire des informations sensibles du contrôleur Jenkins. Cette vulnérabilité repose sur la non-vérification du contenu des requêtes XML avant traitement. Un attaquant peut alors perpétrer une attaque d'entité externe XML en faisant traiter à Jenkins un fichier contenant des requêtes XML vers des entités externes, permettant ainsi l’extraction de données.