2018-1495: Jenkins-Plugins: Mehrere Schwachstellen ermöglichen u. a. das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2018-08-01 19:15)

Neues Advisory

Betroffene Software

Entwicklung
Netzwerk
Systemsoftware

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in verschiedenen Jenkins-Plugins ermöglichen einem zumeist entfernten, einfach authentifizierten Angreifer u. a. das Ausspähen von Informationen (Anchore Container Image Scanner, meliora-testlab, SSH Agent, Tinfoil Security), das Ausspähen von Informationen und zusätzliche Cross-Site-Request-Forgery-Angriffe (Accurev, Kubernetes, SaltStack, Maven Artifact ChoiceListProvider (Nexus)), weitere Cross-Site-Request-Forgery-Angriffe (Confluence Publisher, Publish Over CIFS, TraceTronic ECU-TEST), einen Cross-Site-Scripting-Angriff (Shelve Project), einen Denial-of-Service-Angriff (Resource Disposer), die Manipulation der Plugin-Konfiguration (Agiletestware Pangolin Connector for TestRail) und die Deaktivierung der SSL/TLS-Zertifikatsvalidierung für die gesamte Jenkins Master-Java Virtual Machine (JVM) (Inedo BuildMaster, Inedo ProGet, TraceTronic ECU-TEST). Bei letzteren ist die Ausnutzung jeweils ohne Authentisierung aus der Ferne möglich, die Schwachstellen in den Anchore Container Image Scanner und meliora-testlab Plugins erfordern lokalen Zugriff auf das Dateisystem des Jenkins-Master.

Das Jenkins-Projekt veröffentlicht Informationen zu den Schwachstellen in unterschiedlichen Plugins und den zur Behebung zur Verfügung stehenden Sicherheitsupdates. Benutzer der einzelnen Plugins sollten auf die folgenden Versionen aktualisieren: AccuRev 0.7.17, Agiletestware Pangolin Connector for TestRail 2.2, Anchore Container Image Scanner 1.0.17, Confluence Publisher 2.0.2, Inedo BuildMaster 2.0, Inedo ProGet 1.0, Kubernetes 1.10.2, Maven Artifact ChoiceListProvider (Nexus) 1.3.2, meliora-testlab 1.15, Publish Over CIFS 0.11, Resource Disposer 0.12, SaltStack 3.1.7, Shelve Project 2.0, SSH Agent 1.16, Tinfoil Security 2.0 und TraceTronic ECU-TEST 2.4.

Der Hersteller weist darauf hin, dass das Tinfoil Security Plugin jetzt im Credentials Plugin enthalten ist. Existierende Konfigurationen werden dort aber nicht übernommen.

Schwachstellen:

CVE-2018-1999025

Schwachstelle in TraceTronic ECU-TEST Plugin ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2018-1999026

Schwachstelle in TraceTronic ECU-TEST Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2018-1999027

Schwachstelle in SaltStack Plugin ermöglicht Ausspähen von Informationen und Cross-Site-Request-Forgery-Angriff

CVE-2018-1999028

Schwachstelle in Accurev Plugin ermöglicht Ausspähen von Informationen und Cross-Site-Request-Forgery-Angriff

CVE-2018-1999029

Schwachstelle in Shelve Project Plugin ermöglicht Cross-Site-Scripting-Angriff

CVE-2018-1999030

Schwachstelle in Maven Artifact ChoiceListProvider (Nexus) Plugin ermöglicht Ausspähen von Informationen und Cross-Site-Request-Forgery-Angriff

CVE-2018-1999031

Schwachstelle in meliora-testlab Plugin ermöglicht Ausspähen von Informationen

CVE-2018-1999032

Schwachstelle in Agiletestware Pangolin Connector for TestRail Plugin ermöglicht u. a. Manipulation der Konfiguration

CVE-2018-1999033

Schwachstelle in Anchore Container Image Scanner Plugin ermöglicht Ausspähen von Informationen

CVE-2018-1999034

Schwachstelle in Inedo ProGet Plugin ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2018-1999035

Schwachstelle in Inedo BuildMaster Plugin ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2018-1999036

Schwachstelle in SSH Agent Plugin ermöglicht Ausspähen von Informationen

CVE-2018-1999037

Schwachstelle in Resource Disposer Plugin ermöglicht u. a. Denial-of-Service-Angriff

CVE-2018-1999038

Schwachstelle in Publish Over CIFS Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2018-1999039

Schwachstelle in Confluence Publisher Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2018-1999040

Schwachstelle in Kubernetes Plugin ermöglicht Ausspähen von Informationen und Cross-Site-Request-Forgery-Angriff

CVE-2018-1999041

Schwachstelle in Tinfoil Security Plugin ermöglicht Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.