Jenkins исправляет серьезные уязвимости в нескольких плагинах

Сервер автоматизации разработки программного обеспечения с открытым исходным кодом Jenkins на этой неделе объявил об исправлениях для уязвимостей высокой и средней степени серьезности, влияющих на несколько плагинов.

Патчи устраняют три серьезные проблемы с подделкой межсайтовых запросов (CSRF) и межсайтовыми сценариями (XSS) в плагинах Folders, Flaky Test Handler и Shortcut Job.

Отслеживаемая как CVE-2023-40336, первая ошибка существует из-за того, что для конечной точки HTTP в версии 6.846.v23698686f0f6 и более ранних версиях плагина Folders не требовалось POST-запросов, что приводило к CSRF.

«Эта уязвимость позволяет злоумышленникам копировать элемент, который потенциально может автоматически одобрять сценарии без песочницы и разрешать выполнение небезопасных сценариев», — объясняет Дженкинс в консультативный.

Вторая ошибка высокой степени серьезности, CVE-2023-40342, затрагивает плагин Flaky Test Handler версий 1.2.2 и более ранних, которые не ускользают от содержимого теста JUnit, когда оно отображается в пользовательском интерфейсе Jenkins, что позволяет злоумышленникам выполнять атаки XSS.

Версия плагина Shortcut Job 0.4 и более ранние версии не пропускают URL-адрес перенаправления ярлыка, что приводит к уязвимости XSS, отслеживаемой как CVE-2023-40346.

В подключаемом модуле Docker Swarm версии 1.11 и более ранних была обнаружена еще одна уязвимость XSS высокой серьезности, которая не экранирует значения, возвращаемые из Docker, до того, как они будут вставлены в представление панели мониторинга Docker Swarm. Однако для этой ошибки не было выпущено никакого патча.

Дженкинс также объявил об исправлениях уязвимостей средней степени серьезности в плагинах Folders, Config File Provider, NodeJS, Blue Ocean, Fortify и Delphix.

Согласно бюллетеню, эти недостатки могут привести к раскрытию информации, утечке учетных данных, атакам CSRF, внедрению HTML и перечислению идентификаторов учетных данных.

Исправления были включены в Blue Ocean версии 1.27.5.1, Config File Provider версии 953.v0432a_802e4d2, Delphix версии 3.0.3, Flaky Test Handler версии 1.2.3, Folders версии 6.848.ve3b_fd7839a_81, Fortify версии 22.2.39, NodeJS версии 1.6.0.1. и Shortcut Job версии 0.5.

Кроме того, Дженкинс предупредил, что не было выпущено никаких исправлений для трех недостатков средней степени серьезности в плагинах Maven Artifact ChoiceListProvider (Nexus), Gogs и Favorite View, которые могут привести к раскрытию учетных данных, раскрытию информации и атакам CSRF.

Плагин Tuleap Authentication был обновлен до версии 1.1.21 для устранения уязвимости с низким уровнем серьезности, позволяющей злоумышленникам получить действительный токен аутентификации.

Связанный: Уязвимости сервера Jenkins связаны с удаленным выполнением кода

Связанный: Cisco исправляет серьезные уязвимости в корпоративных приложениях

Связанный: Ivanti устраняет критическую уязвимость в решении Avalanche Enterprise MDM