Jenkins Plugins 多个清静误差危害通告

宣布时间 2020-01-17

误差编号和级别


CVE编号：CVE-2020-2095，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2094，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2097，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2096，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2091，危险级别：低危，CVSS分值：官方未评定

CVE编号：CVE-2020-2090，危险级别：低危，CVSS分值：官方未评定

CVE编号：CVE-2020-2093，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2092，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2098，危险级别：高危，CVSS分值：官方未评定


影响版本


Amazon EC2 Plugin < 1.48

Robot Framework Plugin < 2.0.1

CloudBees Plugin < 3.0.1

Redgate SQL Change Automation Plugin < 2.0.5

Gitlab Hook Plugin <= 1.4.2

Sounds Plugin <= 0.5  


误差概述


Jenkins是一个开源软件项目，是基于Java开发的一种一连集成工具，用于监控一连重复的事情，旨在提供一个开放易用的软件平台，使软件的一连集成酿成可能 。


Jenkins官方宣布了其6个插件的9个CVE相关清静通告，详情如下：


Amazon EC2 Plugin 中保存CSRF误差（CVE-2020-2090）和缺少权限检查误差（CVE-2020-2091）


Amazon EC2插件1.47和更早版本不会在执行表单验证的要领中执行权限检查 。别的，这些表单验证要领不需要POST请求，从而导致CSRF误差 。


Robot Framework Plugin 中保存XXE误差（CVE-2020-2092)


Robot Framework Plugin 2.0.0及更早版本没有设置XML剖析器来避免XML外部实体（XXE）攻击 。


CloudBees Plugin 的 Health Advisor 中保存CSRF误差（CVE-2020-2093）和缺少权限检查误差（CVE-2020-2094）


CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在执行表单验证的要领中不执行权限检查 。别的，这些表单验证要领不需要POST请求，从而导致CSRF误差 。


Redgate SQL Change Automation Plugin 明文存储凭证（CVE-2020-2095）


Redgate SQL Change Automation Plugin 2.0.4及更早版本将未加密的NuGet API密钥存储在job config.xml文件中，作为其设置的一部分 。


Gitlab Hook Plugin 保存反射型XSS（CVE-2020-2096）


Gitlab Hook Plugin 1.4.2 和更早版本没有转义 build_now 终结点中的项目名称 。


Sounds Plugin 保存CSRF误差（CVE-2020-2098）和缺少权限检查允许操作系统下令执行（CVE-2020-2097）


Sounds Plugin 0.5 及更早版本不在执行表单验证的URL中执行权限检查 。别的，这些表单验证URL不需要POST请求，从而导致CSRF误差 。


误差验证


暂无POC/EXP 。


修复建议


现在厂商已宣布升级补丁以修复误差，补丁获取链接：https://jenkins.io/security/advisory/2020-01-15/#descriptions 。

缓解步伐：为缓解保存误差尚无修复程序的插件，请不要对外开放Jenkins，做好Jenkins用户账号治理，若非须要，请禁用受影响的插件 。


参考链接


https://jenkins.io/security/advisory/2020-01-15/#descriptions