El servidor Jenkins, publicó 26 avisos de seguridad que contienen 32 vulnerabilidades que se clasifican como: 9 de Severidad Alta, 20 de Severidad Media y 3 de Severidad Baja.
NOTA: al momento de esta publicación la mayoría de estas vulnerabilidades NO tienen actualizaciones de seguridad.
CVE-2022-41237
RCE vulnerability in DotCi Plugin
DotCi Plugin 2.40.00 y versiones anteriores no configuran su analizador YAML para evitar la creación de instancias de tipo arbitrario.
Esto da como resultado una vulnerabilidad de ejecución remota de código (RCE) explotable por atacantes capaces de modificar archivos .ci.yml en SCM.
NOTA: A partir de la publicación de este aviso, no hay solución.
CVE-2022-41240
Stored XSS vulnerability in Walti Plugin
Walti Plugin 1.0.1 y anteriores no escapan a la información proporcionada por la API de Walti.
Esto da como resultado una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada que los atacantes pueden explotar y pueden proporcionar respuestas API maliciosas de Walti.
NOTA: A partir de la publicación de este aviso, no hay solución.
CVE-2022-41231 (path traversal), CVE-2022-41232 (CSRF)
Path traversal and CSRF vulnerability in build-publisher Plugin
El complemento build-publisher 1.22 y versiones anteriores permite a los atacantes con permiso item/config crear o reemplazar cualquier archivo config.xml en el sistema de archivos del controlador Jenkins al proporcionar un nombre de archivo manipulado a un extremo de la API.
Además, este punto final no requiere solicitudes POST, lo que genera una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) que permite a los atacantes reemplazar cualquier archivo config.xml en el sistema de archivos del controlador Jenkins con un archivo vacío.
NOTA: A partir de la publicación de este aviso, no hay solución.
CVE-2022-41225
Stored XSS vulnerability in Anchore Container Image Scanner Plugin
Anchore Container Image Scanner Plugin 1.0.24 y anteriores no escapan al contenido proporcionado por la API del motor de Anchore.
Esto da como resultado una vulnerabilidad de secuencias de comandos entre sitios (XSS) almacenada que los atacantes pueden aprovechar para controlar las respuestas de la API mediante el motor de Anchore.
CVE-2022-41226
XXE vulnerability in Compuware Common Configuration Plugin
Compuware Common Configuration Plugin 1.0.14 y anteriores no configuran su analizador XML para evitar ataques de entidad externa XML (XXE).
Esto permite que los atacantes puedan cambiar el contenido del directorio de inicio de la CLI de Topaz Workbench en los agentes para que Jenkins analice un archivo manipulado que utiliza entidades externas para la extracción de datos del controlador Jenkins o la falsificación de solicitudes del lado del servidor.
CVE-2022-41229
Stored XSS vulnerability in NS-ND Integration Performance Publisher Plugin
NS-ND Integration Performance Publisher Plugin 4.8.0.134 y versiones anteriores no escapan a las opciones de configuración del paso de compilación “Ejecutar NetStorm/NetCloud Test”.
Esto da como resultado una vulnerabilidad de secuencias de comandos entre sitios (XSS) almacenada que pueden explotar los atacantes con el permiso item/config
NOTA: A partir de la publicación de este aviso, no hay solución.
CVE-2022-41239
Stored XSS vulnerability in DotCi Plugin
DotCi Plugin 2.40.00 y versiones anteriores no escapan al parámetro de nombre de usuario de GitHub proporcionado para confirmar notificaciones cuando se muestran en una causa de compilación.
Esto da como resultado una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada que los atacantes pueden explotar y enviar notificaciones de confirmación manipuladas al /githook/ final.
NOTA: A partir de la publicación de este aviso, no hay solución.
CVE-2022-41224
XSS vulnerability
Jenkins 2.367 a 2.369 (ambos inclusive) no escapa a la información sobre herramientas del componente l:helpIcon de la interfaz de usuario que se usa para algunos íconos de ayuda en la interfaz de usuario web de Jenkins.
Esto da como resultado una vulnerabilidad de secuencias de comandos entre sitios (XSS) almacenada que los atacantes pueden aprovechar para controlar la información sobre herramientas de este componente.
La siguiente vulnerabilidad requiere una actualización para mitigar la falla de seguridad:
Ninguna de las siguientes fallas tiene actualizaciones de seguridad al momento de esta publicación:
Ninguna de las siguientes fallas tiene actualizaciones de seguridad al momento de esta publicación:
ENTEL Weekly Threat Intelligence Brief del 12 al 18 de Septiembre de 2022 |
El Centro de Ciberinteligencia de Entel CyberSecure recomienda lo siguiente:
El listado de las CVE se adjunta a continuación:
CVE-2022-41237
CVE-2022-41240
CVE-2022-41231
CVE-2022-41232
CVE-2022-41225
CVE-2022-41226
CVE-2022-41229
CVE-2022-41239
CVE-2022-41224
CVE-2022-41227
CVE-2022-41228
CVE-2022-41230
CVE-2022-41242
CVE-2022-41236
CVE-2022-41243
CVE-2022-41244
CVE-2022-41234
CVE-2022-41233
CVE-2022-41245
CVE-2022-41246
CVE-2022-41235
CVE-2022-41249
CVE-2022-41250
CVE-2022-41251
CVE-2022-41253
CVE-2022-41254
CVE-2022-41252
CVE-2022-41241
CVE-2022-41238
CVE-2022-41247
CVE-2022-41248
CVE-2022-41255
https://www.jenkins.io/security/advisory/2... |
Producto | Versión |
---|---|
SCM HttpClient Plugin |
hasta 1.5 inclusive |
Security Inspector Plugin |
hasta 117.v6eecc36919c2 inclusive |
View26 Test Reporting Plugin |
hasta 1.0.7 inclusive |
Walti Plugin |
hasta 1.0.1 inclusive |
CONS3RT Plugin |
hasta 1.0.0 inclusive |
Rundeck Plugin |
hasta 3.6.11 inclusive |
Compuware Common Configuration Plugin |
hasta 1.0.14 inclusive |
Worksoft Execution Manager Plugin |
hasta 10.0.3.503 inclusive |
DotCi Plugin |
hasta 2.40.00 inclusive |
SmallTest Plugin |
hasta 1.0.4 inclusive |
RQM Plugin |
hasta 2.8 inclusive |
Anchore Container Image Scanner Plugin |
hasta 1.0.24 inclusive |
WildFly Deployer Plugin |
hasta 1.0.2 inclusive |
Extreme feedback Plugin |
hasta 1.7 inclusive |
Jenkins weekly |
hasta 2.369 inclusive |
Apprenda Plugin |
hasta 2.2.0 inclusive |
BigPanda Notifier Plugin |
hasta 1.4.0 inclusive |
build-publisher Plugin |
hasta 1.22 inclusive |
NS ND Integration Performance Publisher Plugin |
hasta 4.8.0.134 inclusive |