2018-0389: Jenkins-Plugins: Mehrere Schwachstellen ermöglichen u.a. das Ausspähen von Informationen

Historie:

Version 1 (2018-02-27 11:16)

Neues Advisory

Betroffene Software

Entwicklung

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein entfernter, in der Regel einfach authentifizierter Angreifer kann mehrere Schwachstellen in den Plugins Azure Slave, Coverity, CppNCSS, Environment Injector, Gerrit Trigger, Git, Google Play Android Publisher, Job and Node Ownership, Mercurial, Promoted Builds, Subversion und TestLink ausnutzen, um sensitive Informationen auszuspähen, Konfigurationen zu manipulieren, Cross-Site-Scripting (XSS)-Angriffe oder eine Privilegieneskalation durchzuführen.

Es stehen die Versionen Coverity 1.11.0, CppNCSS 1.2, Environment Injector 1.91, Gerrit Trigger 2.27.5, Git 3.8.0, Google Play Android Publisher 1.7, Job and Node Ownership 0.12.0, Mercurial 2.3, Promoted Builds 3.0, Subversion 2.10.3 und TestLink 3.13 als Sicherheitsupdates für die einzelnen Plugins zur Verfügung.

Für das Azure Slave Plugin steht kein Sicherheitsupdate zur Verfügung, da das Plugin seit 2016 als 'deprecated' angesehen wird. Alternativ kann das Azure VM Agents Plugin verwendet werden, das die veraltete und durch CVE-2015-5262 verwundbare Bibliothek 'httpclient' nicht enthält. Die Behebung der Schwachstelle im Environment Injector Plugin erfordert zusätzliche Schritte, falls das Plugin in der Vergangenheit in einer Version vor 1.91 (veröffentlicht im März 2015) eingesetzt wurde. Diese manuellen Schritte werden im referenzierten Sicherheitshinweis des Herstellers näher ausgeführt.

Schwachstellen:

SECURITY-248

Schwachstelle in Environment Injector Plugin ermöglicht Ausspähen von Informationen

SECURITY-260

Schwachstelle in Coverity Plugin ermöglicht Ausspähen von Informationen

SECURITY-402

Schwachstelle in Gerrit Trigger Plugin ermöglicht Ausspähen von Informationen

SECURITY-403

Schwachstelle in Gerrit Trigger Plugin ermöglicht Manipulation von Konfigurationen

SECURITY-498

Schwachstelle in Job and Node Ownership Plugin ermöglicht Manipulation von Daten

SECURITY-554

Schwachstelle in Azure Slave Plugin ermöglicht Denial-of-Service-Angriff

SECURITY-712

Schwachstelle in CppNCSS Plugin ermöglicht Cross-Site-Scripting-Angriff

SECURITY-715

Schwachstelle in Google Play Android Publisher Plugin ermöglicht Ausspähen von Informationen

SECURITY-723

Schwachstelle in Git Plugin ermöglicht Ausspähen von Informationen

SECURITY-724

Schwachstelle in Subversion Plugin ermöglicht Ausspähen von Informationen

SECURITY-726

Schwachstelle in Mercurial Plugin ermöglicht Ausspähen von Informationen

SECURITY-731

Schwachstelle in TestLink Plugin ermöglicht Cross-Site-Scripting-Angriff

SECURITY-746

Schwachstelle in Promoted Builds Plugin ermöglicht Privilegieneskalation

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.