2022-0086: Jenkins, Jenkins-Plugins: Mehrere Schwachstellen ermöglichen u. a. das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2022-01-14 15:36): Neues Advisory

Betroffene Software

Entwicklung
Netzwerk
Systemsoftware

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Dateien zu manipulieren, Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen sowie Cross-Site-Scripting (XSS)- und Cross-Site-Request-Forgery (CSRF)-Angriffe durchzuführen. In einem Fall muss sich ein Angreifer im benachbarten Netzwerk befinden, um Informationen auszuspähen, und in zwei Fällen ist dies einem Angreifer lokal möglich.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers.

Zur Behebung der aufgeführten Schwachstellen CVE-2022-20612 bis CVE-2022-20621 und CVE-2022-23105 bis CVE-2022-23109 stehen die folgenden Versionen zur Verfügung: Jenkins 2.330, Jenkins LTS 2.319.2, Mailer Plugin 408.vd726a_1130320, Matrix Project Plugin 1.20, Credentials Binding Plugin 1.27.1, Docker Commons Plugin 1.18, Bitbucket Branch Source Plugin 746.v350d2781c184, SSH Agent Plugin 1.23.2, Metrics Plugin 4.0.2.8.1, Active Directory Plugin 2.25.1, Configuration as Code Plugin 1.55.1, Warnings Next Generation Plugin 9.10.3, Badge Plugin 1.9.1 und HashiCorp Vault Plugin 3.8.0.

Ein Teil der referenzierten Schwachstellen (CVE-2022-23110 bis CVE-2022-23118) ist zum jetzigen Zeitpunkt noch offen, da für die folgenden Plugins derzeit keine Sicherheitsupdates zur Verfügung stehen: Publish Over SSH Plugin (CVE-2022-23110 bis CVE-2022-23114), batch task Plugin (CVE-2022-23115), Conjur Secrets Plugin (CVE-2022-23116, CVE-2022-23117) und Debian Package Builder Plugin (CVE-2022-23118).

Schwachstellen:

CVE-2022-20612

Schwachstelle in Jenkins ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2022-20613

Schwachstelle in Jenkins Mailer Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2022-20614

Schwachstelle in Jenkins Mailer Plugin ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-20615

Schwachstelle in Matrix Project Plugin ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-20616

Schwachstelle in Credentials Binding Plugin errmöglicht Ausspähen von Informationen

CVE-2022-20617

Schwachstelle in Docker Commons Plugin ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-20618

Schwachstelle in Bitbucket Branch Source Plugin ermöglicht Ausspähen von Informationen

CVE-2022-20619

Schwachstelle in Jenkins Bitbucket Branch Source Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2022-20620

Schwachstelle in Jenkins SSH Agent Plugin ermöglicht Ausspähen von Informationen

CVE-2022-20621

Schwachstelle in Jenkins Metrics Plugin ermöglicht Ausspähen von Informationen

CVE-2022-23105

Schwachstelle in Jenkins Active Directory Plugin ermöglicht Ausspähen von Informationen

CVE-2022-23106

Schwachstelle in Jenkins Configuration as Code Plugin ermöglicht Ausspähen von Informationen

CVE-2022-23107

Schwachstelle in Jenkins Warnings Next Generation Plugin ermöglicht u. a. Manipulation von Dateien

CVE-2022-23108

Schwachstelle in Jenkins Badge Plugin ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-23109

Schwachstelle in Jenkins HashiCorp Vault Plugin ermöglicht Ausspähen von Informationen

CVE-2022-23110

Schwachstelle in Jenkins Publish Over SSH Plugin ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-23111

Schwachstelle in Jenkins Publish Over SSH Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2022-23112

Schwachstelle in Jenkins Publish Over SSH Plugin ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-23113

Schwachstelle in Jenkins ermöglicht Ausspähen von Informationen

CVE-2022-23114