Jenkins Plugins 多个安全缝隙风险公告

颁布功夫 2020-01-17

缝隙编号和级别


CVE编号：CVE-2020-2095，，，，，，危险级别：中危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2094，，，，，，危险级别：中危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2097，，，，，，危险级别：高危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2096，，，，，，危险级别：中危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2091，，，，，，危险级别：低危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2090，，，，，，危险级别：低危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2093，，，，，，危险级别：中危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2092，，，，，，危险级别：高危，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2098，，，，，，危险级别：高危，，，，，，CVSS分值：官方未评定


影响版本


Amazon EC2 Plugin < 1.48

Robot Framework Plugin < 2.0.1

CloudBees Plugin < 3.0.1

Redgate SQL Change Automation Plugin < 2.0.5

Gitlab Hook Plugin <= 1.4.2

Sounds Plugin <= 0.5  


缝隙概述


Jenkins是一个开源软件项目，，，，，，是基于Java开发的一种持续集成工具，，，，，，用于监控持续沉复的工作，，，，，，旨在提供一个盛开易用的软件平台，，，，，，使软件的持续集成造成可能。 。。。。。。。


Jenkins官方颁布了其6个插件的9个CVE有关安全布告，，，，，，详情如下：


Amazon EC2 Plugin 中存在CSRF缝隙（CVE-2020-2090）和短缺权限查抄缝隙（CVE-2020-2091）


Amazon EC2插件1.47和更早版本不会在执行表单验证的步骤中执行权限查抄。 。。。。。。。此表，，，，，，这些表单验证步骤不必要POST要求，，，，，，从而导致CSRF缝隙。 。。。。。。。


Robot Framework Plugin 中存在XXE缝隙（CVE-2020-2092)


Robot Framework Plugin 2.0.0及更早版本没有配置XML解析器来预防XML表部实体（XXE）攻击。 。。。。。。。


CloudBees Plugin 的 Health Advisor 中存在CSRF缝隙（CVE-2020-2093）和短缺权限查抄缝隙（CVE-2020-2094）


CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在执行表单验证的步骤中不执行权限查抄。 。。。。。。。此表，，，，，，这些表单验证步骤不必要POST要求，，，，，，从而导致CSRF缝隙。 。。。。。。。


Redgate SQL Change Automation Plugin 明文存储痛处（CVE-2020-2095）


Redgate SQL Change Automation Plugin 2.0.4及更早版本将未加密的NuGet API密钥存储在job config.xml文件中，，，，，，作为其配置的一部门。 。。。。。。。


Gitlab Hook Plugin 存在反射型XSS（CVE-2020-2096）


Gitlab Hook Plugin 1.4.2 和更早版本没有转义 build_now 终结点中的项目名称。 。。。。。。。


Sounds Plugin 存在CSRF缝隙（CVE-2020-2098）和短缺权限查抄允许操作系统号令执行（CVE-2020-2097）


Sounds Plugin 0.5 及更早版本不在执行表单验证的URL中执行权限查抄。 。。。。。。。此表，，，，，，这些表单验证URL不必要POST要求，，，，，，从而导致CSRF缝隙。 。。。。。。。


缝隙验证


暂无POC/EXP。 。。。。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙，，，，，，补丁获取链接：https://jenkins.io/security/advisory/2020-01-15/#descriptions。 。。。。。。。

缓解措施：为缓解存在缝隙尚无建复法式的插件，，，，，，请不要对表盛开Jenkins，，，，，，做好Jenkins用户账号治理，，，，，，若非必要，，，，，，请禁用受影响的插件。 。。。。。。。


参考链接


https://jenkins.io/security/advisory/2020-01-15/#descriptions