Vulnérabilités sur Jenkins

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans Jenkins, un outil d’intégration continue. Elles peuvent permettre à un attaquant distant de provoquer une élévation de privilèges ou une injection de commandes.

CVE-2020-2200 [Score CVSS v3 : 8.8] : Une vulnérabilité permettant l’injection de commandes dans un système d’exploitation a été découverte dans Jenkins Play Framework Plugin. Celui-ci permet aux utilisateurs de spécifier le chemin vers la commande “play” sur le Jenkins maître. Cette vulnérabilité pourrait permettre à un attaquant de provoquer une atteinte à la confidentialité, l’intégrité ou à la disponibilité de données. 

CVE-2020-2196 [Score CVSS v3 : 8.0] : Jenkins Selenium Plugin ne possède pas de protection contre les attaques de type “cross-site request forgery” pour ses terminaux HTTP. Un attaquant peut exploiter cette vulnérabilité afin d’effectuer des actions administratives.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Elévation de privilèges
  • Injection de commandes

Criticité

  • Score CVSS v3 : 8.8 au maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible

Composants vulnérables

  • Compact Columns Plugin jusqu'à et incluant la version 1.11
  • ECharts API Plugin jusqu'à et incluant la version 4.7.0-3
  • Play Framework Plugin jusqu'à et incluant la version 1.0.2
  • Project Inheritance Plugin jusqu'à et incluant la version 19.08.02
  • Script Security Plugin jusqu'à et incluant la version 1.72
  • Selenium Plugin jusqu'à et incluant la version 3.141.59
  • Self-Organizing Swarm Plug-in Modules Plugin jusqu'à et incluant la version 3.20
  • Subversion Partial Release Manager Plugin jusqu'à et incluant la version 1.0.1

CVE

  • CVE-2020-2190
  • CVE-2020-2191
  • CVE-2020-2192
  • CVE-2020-2193
  • CVE-2020-2194
  • CVE-2020-2195
  • CVE-2020-2196
  • CVE-2020-2197
  • CVE-2020-2198
  • CVE-2020-2199
  • CVE-2020-2200

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Compact Columns Plugin doit être mis à jour à la version 1.12

  • ECharts API Plugin doit être mis à jour à la version 4.7.0-4

  • Script Security Plugin doit être mis à jour à la version 1.73

  • Self-Organizing Swarm Plug-in Modules Plugin doit être mis à jour à la version 3.21

Pour le moment, aucune mise à jour n’est disponible pour les plugins suivants :

  • Play Framework Plugin

  • Project Inheritance Plugin

  • Selenium Plugin

  • Subversion Partial Release Manager Plugin

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens