Vulnérabilités dans Jenkins

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans Jenkins, un outil d’intégration continue. Elles peuvent permettre un attaquant de provoquer une exécution de code arbitraire ou un contournement de la politique de sécurité.

CVE-2020-2286 [Score CVSS v3 : 8.8] : Une vulnérabilité a été découverte dans le plugin Jenkins Role-based Authorization Strategy. Lors d’un changement de configuration, le plugin n’invalide pas correctement les permissions contenues dans le cache ce qui résulte en des autorisations accordées selon une configuration non à jour. 

CVE-2020-2292 [Score CVSS v3 : 5.4] : Une vulnérabilité pouvant permettre une attaque XSS a été découverte dans Jenkins Release Plugin. Un attaquant avec des autorisations spéciales peut exploiter cette vulnérabilité. 

CVE-2020-2298 [Score CVSS v3 : 6.5] : Une vulnérabilité a été découverte dans le parseur XML de Jenkins Nerrvana Plugin. Le parseur n’est pas configuré pour prévenir des attaques de XXE (XML external entity) pouvant conduire à une exécution de code arbitraire.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

    Contournement de la politique de sécurité

Criticité

    Score CVSS v3 : 8.8 max

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible publiquement

Composants vulnérables

    Active Choices Plugin jusqu'à et incluant la version 2.4

    Audit Trail Plugin jusqu'à et incluant la version 3.6

    couchdb-statistics Plugin jusqu'à et incluant la version 0.3

    Maven Cascade Release Plugin jusqu'à et incluant la version 1.3.2

    Nerrvana Plugin jusqu'à et incluant la version 1.02.06

    Persona Plugin jusqu'à et incluant la version 2.4

    Release Plugin jusqu'à et incluant la version 2.10.2

    Role-based Authorization Strategy Plugin jusqu'à et incluant la version 3.0

    Shared Objects Plugin jusqu'à et incluant la version 0.44

    SMS Notification Plugin jusqu'à et incluant la version 1.2

CVE

    CVE-2020-2286

    CVE-2020-2287

    CVE-2020-2288

    CVE-2020-2289

    CVE-2020-2290

    CVE-2020-2291

    CVE-2020-2292

    CVE-2020-2293

    CVE-2020-2294

    CVE-2020-2295

    CVE-2020-2296

    CVE-2020-2297

    CVE-2020-2298

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Active Choices Plugin doit être mise à jour vers la version 2.5 ou supérieure

  • Audit Trail Plugin doit être mise à jour vers la version 3.7 ou supérieure

  • couchdb-statistics Plugin doit être mise à jour vers la version 0.4 ou supérieure

  • Role-based Authorization Strategy Plugin doit être mise à jour vers la version 3.1 ou supérieure

Aucun correctif n’est disponible pour les plugins suivants :

  • Maven Cascade Release Plugin

  • Nerrvana Plugin

  • Persona Plugin

  • Release Plugin

  • Shared Objects Plugin

  • SMS Notification Plugin

Solution de contournement

  • Aucune solution de contournement

Liens