Jenkins Plugins 多个安全缝隙风险公告

颁布功夫 2020-01-17

缝隙编号和级别


CVE编号：CVE-2020-2095，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2094，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2097，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2096，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2091，危险级别：低危，CVSS分值：官方未评定

CVE编号：CVE-2020-2090，危险级别：低危，CVSS分值：官方未评定

CVE编号：CVE-2020-2093，危险级别：中危，CVSS分值：官方未评定

CVE编号：CVE-2020-2092，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2098，危险级别：高危，CVSS分值：官方未评定


影响版本


Amazon EC2 Plugin < 1.48

Robot Framework Plugin < 2.0.1

CloudBees Plugin < 3.0.1

Redgate SQL Change Automation Plugin < 2.0.5

Gitlab Hook Plugin <= 1.4.2

Sounds Plugin <= 0.5  


缝隙概述


Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续沉复的工作，旨在提供一个盛开易用的软件平台，使软件的持续集成造成可能。


Jenkins官方颁布了其6个插件的9个CVE有关安全布告，详情如下：


Amazon EC2 Plugin 中存在CSRF缝隙（CVE-2020-2090）和短缺权限查抄缝隙（CVE-2020-2091）


Amazon EC2插件1.47和更早版本不会在执行表单验证的步骤中执行权限查抄。此表，这些表单验证步骤不必要POST要求，从而导致CSRF缝隙。


Robot Framework Plugin 中存在XXE缝隙（CVE-2020-2092)


Robot Framework Plugin 2.0.0及更早版本没有配置XML解析器来预防XML表部实体（XXE）攻击。


CloudBees Plugin 的 Health Advisor 中存在CSRF缝隙（CVE-2020-2093）和短缺权限查抄缝隙（CVE-2020-2094）


CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在执行表单验证的步骤中不执行权限查抄。此表，这些表单验证步骤不必要POST要求，从而导致CSRF缝隙。


Redgate SQL Change Automation Plugin 明文存储痛处（CVE-2020-2095）


Redgate SQL Change Automation Plugin 2.0.4及更早版本将未加密的NuGet API密钥存储在job config.xml文件中，作为其配置的一部门。


Gitlab Hook Plugin 存在反射型XSS（CVE-2020-2096）


Gitlab Hook Plugin 1.4.2 和更早版本没有转义 build_now 终结点中的项目名称。


Sounds Plugin 存在CSRF缝隙（CVE-2020-2098）和短缺权限查抄允许操作系统号令执行（CVE-2020-2097）


Sounds Plugin 0.5 及更早版本不在执行表单验证的URL中执行权限查抄。此表，这些表单验证URL不必要POST要求，从而导致CSRF缝隙。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：https://jenkins.io/security/advisory/2020-01-15/#descriptions。

缓解措施：为缓解存在缝隙尚无建复法式的插件，请不要对表盛开Jenkins，做好Jenkins用户账号治理，若非必要，请禁用受影响的插件。


参考链接


https://jenkins.io/security/advisory/2020-01-15/#descriptions