Jenkins informa de Múltiples vulnerabilidades en sus complementos

06 Noviembre 2020
Alto

Jenkins, un servidor de automatización de código abierto ha informado de múltiples vulnerabilidades en los complementos de sus productos, de las cuales se han clasificado: una crítica, siete con severidad alta, once de severidad media y dos bajas.

Jenkins informa que las siguientes versiones contienen correcciones para vulnerabilidades de seguridad:

  • Active Directory Plugin version 2.20
  • Ansible Plugin version 1.1
  • AppSpider Plugin version 1.0.13
  • AWS Global Configuration Plugin version 1.6
  • Azure Key Vault Plugin version 2.1
  • Kubernetes Plugin version 1.27.4
  • Mercurial Plugin version 2.12
  • SQLPlus Script Runner Plugin version 2.0.13
  • Subversion Plugin version 2.13.2
  • Visualworks Store Plugin version 1.1.4

Además, Jenkins anunció que a partir de la publicación de este aviso no existen correcciones disponibles para los siguientes complementos:

  • FindBugs Plugin
  • Mail Commander Plugin for Jenkins-ci Plugin
  • Static Analysis Utilities Plugin
  • VMware Lab Manager Slaves Plugin

 

Vulnerabilidades con severidad crítica:

CVE-2020-2299 Inicio de sesión permitido con contraseña codificada por el complemento de Active Directory

El complemento de Active Directory implementa dos modos independientes: integración con ADSI en Windows y un modo basado en LDAP independiente del sistema operativo. Esto permite a los atacantes iniciar sesión como cualquier usuario si la magic constant se usa como contraseña en el complemento de Active Directory 2.19 y versiones anteriores.

 

Vulnerabilidades con severidad alta:

CVE-2020-2300 Inicio de sesión permitido con empty password por el complemento de Active Directory 

CVE-2020-2301 La caché de autenticación en el complemento de Active Directory permite iniciar sesión con cualquier contraseña

CVE-2020-2304 Vulnerabilidad XXE en complemento Subversion

CVE-2020-2315 Vulnerabilidad XXE en Visualworks Store Plugin

CVE-2020-2316 Vulnerabilidad XSS almacenada en el complemento de utilidades de análisis estático

CVE-2020-2317 Vulnerabilidad XSS almacenada en el complemento FindBugs

CVE-2020-2305 Vulnerabilidad XXE en complemento Mercurial

 

Vulnerabilidades con severidad media:

CVE-2020-2307 Variables de entorno del controlador Jenkins accesibles en el complemento de Kubernetes

CVE-2020-2310 Las comprobaciones de permisos faltantes en el complemento Ansible permiten enumerar los ID de credenciales

CVE-2020-2302 La falta de verificación de permisos en el complemento de Active Directory permite acceder a la página de verificación de estado del dominio

CVE-2020-2318 Contraseñas almacenadas en texto plano por el complemento Mail Commander para Jenkins-ci plugin

CVE-2020-2311 La verificación de permisos faltantes en el complemento de configuración global de AWS permite reemplazar la configuración del complemento

CVE-2020-2308 La verificación de permisos faltantes en el complemento de Kubernetes permite enumerar plantillas de pod 

CVE-2020-2309 La verificación de permisos faltantes en el complemento de Kubernetes permite enumerar los ID de credenciales

CVE-2020-2306 Falta de verificación de permisos en el complemento Mercurial

CVE-2020-2313 Las comprobaciones de permisos faltantes en el complemento de Azure Key Vault permiten enumerar los ID de las credenciales

CVE-2020-2303 Vulnerabilidad CSRF en el complemento de Active Directory

CVE-2020-2312 Contraseña escrita en el registro de compilación por SQLPlus Script Runner Plugin

 

Vulnerabilidades con severidad baja:

CVE-2020-2314 Contraseña almacenada en texto plano por AppSpider Plugin

CVE-2020-2319 Contraseña almacenada en texto plano por VMware Lab Manager Slaves Plugin

Se recomienda lo siguiente:

  • Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.

El listado de las CVE se adjunta a continuación:


Tags: #Jenkins #Parche #Nerrvana #Plugin


© 2019 Entel CyberSecure
Protege tus activos críticos, datos e infraestructura TI y minimiza tus riesgos de fuga de información,
fraude electrónico, espionaje industrial, suplantación de identidades y amenazas Zero Day, con las soluciones y servicios del Centro de Ciberinteligencia de Entel.