Jenkins Plugins 多个清静误差危害通告

宣布时间 2020-01-17

误差编号和级别


CVE编号：CVE-2020-2095，，，，危险级别：中危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2094，，，，危险级别：中危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2097，，，，危险级别：高危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2096，，，，危险级别：中危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2091，，，，危险级别：低危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2090，，，，危险级别：低危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2093，，，，危险级别：中危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2092，，，，危险级别：高危，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2098，，，，危险级别：高危，，，，CVSS分值：官方未评定


影响版本


Amazon EC2 Plugin < 1.48

Robot Framework Plugin < 2.0.1

CloudBees Plugin < 3.0.1

Redgate SQL Change Automation Plugin < 2.0.5

Gitlab Hook Plugin <= 1.4.2

Sounds Plugin <= 0.5  


误差概述


Jenkins是一个开源软件项目，，，，是基于Java开发的一种一连集成工具，，，，用于监控一连重复的事情，，，，旨在提供一个开放易用的软件平台，，，，使软件的一连集成酿成可能。。。。。


Jenkins官方宣布了其6个插件的9个CVE相关清静通告，，，，详情如下：


Amazon EC2 Plugin 中保存CSRF误差（CVE-2020-2090）和缺少权限检查误差（CVE-2020-2091）


Amazon EC2插件1.47和更早版本不会在执行表单验证的要领中执行权限检查。。。。。别的，，，，这些表单验证要领不需要POST请求，，，，从而导致CSRF误差。。。。。


Robot Framework Plugin 中保存XXE误差（CVE-2020-2092)


Robot Framework Plugin 2.0.0及更早版本没有设置XML剖析器来避免XML外部实体（XXE）攻击。。。。。


CloudBees Plugin 的 Health Advisor 中保存CSRF误差（CVE-2020-2093）和缺少权限检查误差（CVE-2020-2094）


CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在执行表单验证的要领中不执行权限检查。。。。。别的，，，，这些表单验证要领不需要POST请求，，，，从而导致CSRF误差。。。。。


Redgate SQL Change Automation Plugin 明文存储凭证（CVE-2020-2095）


Redgate SQL Change Automation Plugin 2.0.4及更早版本将未加密的NuGet API密钥存储在job config.xml文件中，，，，作为其设置的一部分。。。。。


Gitlab Hook Plugin 保存反射型XSS（CVE-2020-2096）


Gitlab Hook Plugin 1.4.2 和更早版本没有转义 build_now 终结点中的项目名称。。。。。


Sounds Plugin 保存CSRF误差（CVE-2020-2098）和缺少权限检查允许操作系统下令执行（CVE-2020-2097）


Sounds Plugin 0.5 及更早版本不在执行表单验证的URL中执行权限检查。。。。。别的，，，，这些表单验证URL不需要POST请求，，，，从而导致CSRF误差。。。。。


误差验证


暂无POC/EXP。。。。。


修复建议


现在厂商已宣布升级补丁以修复误差，，，，补丁获取链接：https://jenkins.io/security/advisory/2020-01-15/#descriptions。。。。。

缓解步伐：为缓解保存误差尚无修复程序的插件，，，，请不要对外开放Jenkins，，，，做好Jenkins用户账号治理，，，，若非须要，，，，请禁用受影响的插件。。。。。


参考链接


https://jenkins.io/security/advisory/2020-01-15/#descriptions