2021-0834: Jenkins-Plugins: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2021-04-22 12:22)

Neues Advisory

Betroffene Software

Entwicklung
Netzwerk
Systemsoftware

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer, der in den meisten Fällen über niedrige Privilegien verfügen muss, kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, einen XML-eXternal-Entity (XXE)-Angriff durchzuführen, Informationen auszuspähen, Dateien zu manipulieren und einen Cross-Site-Request-Forgery (CSRF)-Angriff durchzuführen. Eine Schwachstelle erfordert die Interaktion eines Benutzers.

Der Hersteller informiert über die Schwachstellen und stellt als Sicherheitsupdates neue Versionen der betroffenen Plugins bereit. Zur Verfügung stehen hierfür CloudBees CD Plugin 1.1.22, Config File Provider Plugin 3.7.1 und Templating Engine Plugin 2.2.

Schwachstellen:

CVE-2021-21642

Schwachstelle in Config File Provider Plugin ermöglicht XML-eXternal-Entity-Angriff

CVE-2021-21643

Schwachstelle in Config File Provider Plugin ermöglicht Ausspähen von Informationen

CVE-2021-21644

Schwachstelle in Config File Provider Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2021-21645

Schwachstelle in Config File Provider Plugin ermöglicht Ausspähen von Informationen

CVE-2021-21646

Schwachstelle in Templating Engine Plugin ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-21647

Schwachstelle in CloudBees CD Plugin ermöglicht Manipulation von Dateien

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.