Jenkins Plugin Installation Manager Tool w wersji 2.1.3 i wcześniejszych nie weryfikuje integralności pobieranych wtyczek. Umożliwia to dostarczenie złośliwego kodu do środowiska CI/CD bez wykrycia.
▸ Pokaż oryginał (EN)
Jenkins Plugin Installation Manager Tool 2.1.3 and earlier does not verify plugin downloads.
Narzędzie do zarządzania instalacją wtyczek nie sprawdza autentyczności ani integralności pobieranych plików wtyczek (CWE-494 – Download of Code Without Integrity Check). Atakujący, który jest w stanie przechwycić ruch sieciowy lub skompromitować serwer dystrybucyjny, może podmienić pobieraną wtyczkę na złośliwą wersję. Takie sfałszowane wtyczki zostaną zainstalowane i wykonane przez Jenkins bez żadnej weryfikacji ich pochodzenia.
Atakujący może doprowadzić do wykonania dowolnego kodu w środowisku Jenkins, uzyskując pełną kontrolę nad serwerem CI/CD, w tym dostęp do poufnych danych (np. sekretów, kluczy, kodu źródłowego) oraz możliwość manipulowania procesami budowania i wdrażania oprogramowania.
Należy zaktualizować Jenkins Plugin Installation Manager Tool do wersji wyższej niż 2.1.3, zgodnie z zaleceniami opublikowanymi w oficjalnym biuletynie bezpieczeństwa Jenkins z dnia 2020-12-03 (SECURITY-1856).
Jenkins Plugin Installation Manager Tool w wersji 2.1.3 i wcześniejszych
Podatność została ujawniona 2020-12-03 w ramach biuletynu bezpieczeństwa Jenkins (SECURITY-1856) oraz zgłoszona na liście oss-security.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HJenkins Installation Manager Tool
APPJenkins≤ 2.1.3
Powiązane podatności
Jenkins CLI – odczyt dowolnych plików przez path traversal bez uwierzytelnienia
Jenkins Pipeline Groovy Plugin — bypass sandbox i wykonanie kodu (RCE)
Jenkins Script Security Plugin — sandbox bypass umożliwiający RCE
RCE w Jenkins — nieuprawnione wywołanie metod przez Stapler framework
Jenkins CLI — nieuwierzytelnione RCE przez deserializację SignedObject