Vulnérabilités dans Jenkins

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans Jenkins, un outil d’intégration continue. Elles peuvent permettre un attaquant de provoquer une exécution de code arbitraire ou un contournement de la politique de sécurité.

CVE-2020-2286 [Score CVSS v3 : 8.8] : Une vulnérabilité a été découverte dans le plugin Jenkins Role-based Authorization Strategy. Lors d’un changement de configuration, le plugin n’invalide pas correctement les permissions contenues dans le cache ce qui résulte en des autorisations accordées selon une configuration non à jour. 

CVE-2020-2292 [Score CVSS v3 : 5.4] : Une vulnérabilité pouvant permettre une attaque XSS a été découverte dans Jenkins Release Plugin. Un attaquant avec des autorisations spéciales peut exploiter cette vulnérabilité. 

CVE-2020-2298 [Score CVSS v3 : 6.5] : Une vulnérabilité a été découverte dans le parseur XML de Jenkins Nerrvana Plugin. Le parseur n’est pas configuré pour prévenir des attaques de XXE (XML external entity) pouvant conduire à une exécution de code arbitraire.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Contournement de la politique de sécurité

Criticité

  • Score CVSS v3 : 8.8 max

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement

Composants vulnérables

  • Active Choices Plugin jusqu'à et incluant la version 2.4
  • Audit Trail Plugin jusqu'à et incluant la version 3.6
  • couchdb-statistics Plugin jusqu'à et incluant la version 0.3
  • Maven Cascade Release Plugin jusqu'à et incluant la version 1.3.2
  • Nerrvana Plugin jusqu'à et incluant la version 1.02.06
  • Persona Plugin jusqu'à et incluant la version 2.4
  • Release Plugin jusqu'à et incluant la version 2.10.2
  • Role-based Authorization Strategy Plugin jusqu'à et incluant la version 3.0
  • Shared Objects Plugin jusqu'à et incluant la version 0.44
  • SMS Notification Plugin jusqu'à et incluant la version 1.2

CVE

  • CVE-2020-2286
  • CVE-2020-2287
  • CVE-2020-2288
  • CVE-2020-2289
  • CVE-2020-2290
  • CVE-2020-2291
  • CVE-2020-2292
  • CVE-2020-2293
  • CVE-2020-2294
  • CVE-2020-2295
  • CVE-2020-2296
  • CVE-2020-2297
  • CVE-2020-2298

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Active Choices Plugin doit être mise à jour vers la version 2.5 ou supérieure

  • Audit Trail Plugin doit être mise à jour vers la version 3.7 ou supérieure

  • couchdb-statistics Plugin doit être mise à jour vers la version 0.4 ou supérieure

  • Role-based Authorization Strategy Plugin doit être mise à jour vers la version 3.1 ou supérieure

Aucun correctif n’est disponible pour les plugins suivants :

  • Maven Cascade Release Plugin

  • Nerrvana Plugin

  • Persona Plugin

  • Release Plugin

  • Shared Objects Plugin

  • SMS Notification Plugin

Solution de contournement

  • Aucune solution de contournement

Liens