Vulnérabilités sur Jenkins

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans Jenkins, un outil d’intégration continue. Elles peuvent permettre à un attaquant distant de provoquer une élévation de privilèges ou une injection de commandes.

CVE-2020-2200 [Score CVSS v3 : 8.8] : Une vulnérabilité permettant l’injection de commandes dans un système d’exploitation a été découverte dans Jenkins Play Framework Plugin. Celui-ci permet aux utilisateurs de spécifier le chemin vers la commande “play” sur le Jenkins maître. Cette vulnérabilité pourrait permettre à un attaquant de provoquer une atteinte à la confidentialité, l’intégrité ou à la disponibilité de données. 



CVE-2020-2196 [Score CVSS v3 : 8.0] : Jenkins Selenium Plugin ne possède pas de protection contre les attaques de type “cross-site request forgery” pour ses terminaux HTTP. Un attaquant peut exploiter cette vulnérabilité afin d’effectuer des actions administratives.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Elévation de privilèges

    Injection de commandes

Criticité

    Score CVSS v3 : 8.8 au maximum

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible

Composants vulnérables

    Compact Columns Plugin jusqu'à et incluant la version 1.11

    ECharts API Plugin jusqu'à et incluant la version 4.7.0-3

    Play Framework Plugin jusqu'à et incluant la version 1.0.2

    Project Inheritance Plugin jusqu'à et incluant la version 19.08.02

    Script Security Plugin jusqu'à et incluant la version 1.72

    Selenium Plugin jusqu'à et incluant la version 3.141.59

    Self-Organizing Swarm Plug-in Modules Plugin jusqu'à et incluant la version 3.20

    Subversion Partial Release Manager Plugin jusqu'à et incluant la version 1.0.1

CVE

    CVE-2020-2190

    CVE-2020-2191

    CVE-2020-2192

    CVE-2020-2193

    CVE-2020-2194

    CVE-2020-2195

    CVE-2020-2196

    CVE-2020-2197

    CVE-2020-2198

    CVE-2020-2199

    CVE-2020-2200

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Compact Columns Plugin doit être mis à jour à la version 1.12

  • ECharts API Plugin doit être mis à jour à la version 4.7.0-4

  • Script Security Plugin doit être mis à jour à la version 1.73

  • Self-Organizing Swarm Plug-in Modules Plugin doit être mis à jour à la version 3.21

Pour le moment, aucune mise à jour n’est disponible pour les plugins suivants :

  • Play Framework Plugin

  • Project Inheritance Plugin

  • Selenium Plugin

  • Subversion Partial Release Manager Plugin

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens