Vulnérabilités dans l’outil d'intégration continue Jenkins
Date de publication :
CVE-2020-2324[Score CVSS v3 : 7.5] : Le parser XML du plugin CVS pour Jenkins ne vérifie pas correctement les requêtes passées en argument. Un attaquant distant et non-authentifié peut alors envoyer une requête XML malveillante afin d’extraire des informations et/ou d'injecter du code arbitraire.
CVE-2020-2320 [Score CVSS v3 : 9.8] : Le plugin Installation Manager Tool (gestionnaire des plugins pour Jenkins) ne vérifie pas si les plugins téléchargés sont légitimes. Un attaquant distant et non-authentifié peut alors fabriquer un paquet malveillant en usurpant un paquet légitime et injecter du code arbitraire.
CVE-2020-2321[Score CVSS v3 : 8.1] : Le plugin Shelve Project n’exige pas de requêtes POST pour les points d’entrées des serveurs HTTP. Un attaquant distant et non-authentifié peut alors exécuter une attaque de type CSRF. Cette exploitation peut permettre à un attaquant de retirer, d’ajouter ou de supprimer des projets gérés par Shelve Project.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Exécution de code arbitraire
- Vol de données
- Violation des politiques de sécurité
Criticité
- Score CVSS v3 : 8.1 ; En cours de calcul ; En cours de calcul
Existence d’un code d’exploitation
- Il n’existe pas de code d'exploitation à l’heure actuelle.
Composants vulnérables
- Toutes les versions de CVS Plugin antérieures à 2.17 sont vulnérables.
CVE
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour CVS Plugin vers la version 2.17 ou une version supérieure.
Solution de contournement
Il n’existe pas de solutions de contournement connues publiquement.