2022-2775: Jenkins-Plugins: Mehrere Schwachstellen ermöglichen u. a. Cross-Site-Scripting-Angriffe

Historie:

Version 1 (2022-12-08 15:54)

Neues Advisory

Betroffene Software

Entwicklung
Netzwerk
Systemsoftware

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, falsche Informationen darzustellen, sowie Cross-Site-Scripting (XSS)-, XML-External-Entity (XXE)-, Server-Side-Request-Forgery (SSRF)- und Cross-Site-Request-Forgery (CSRF)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers.

Die folgenden Plugin-Versionen stehen als Sicherheitsupdates bereit: Checkmarx Plugin 2022.4.3, Custom Build Properties Plugin 2.82.v16d5b_d3590c7, Gitea Plugin 1.4.5, Google Login Plugin 1.7, Plot Plugin 2.1.12 und Spring Config Plugin 2.0.1.

Für Sonar Gerrit Plugin steht derzeit kein Sicherheitsupdate zur Verfügung.

Schwachstellen:

CVE-2022-46682

Schwachstelle in Plot Plugin ermöglicht u. a. XML-External-Entity-Angriff

CVE-2022-46683

Schwachstelle in Google Login Plugin ermöglicht Darstellen falscher Informationen

CVE-2022-46684

Schwachstelle in Checkmarx Plugin ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-46685

Schwachstelle in Gitea Plugin ermöglicht Ausspähen von Informationen

CVE-2022-46686

Schwachstelle in Custom Build Properties Plugin ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-46687

Schwachstelle in Spring Config Plugin ermöglicht Cross-Site-Scripting-Angriff

CVE-2022-46688

Schwachstelle in Sonar Gerrit Plugin ermöglicht Cross-Site-Request-Forgery-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.