Jenkins Plugins 多个安全缝隙风险公告

颁布功夫 2020-01-17

缝隙编号和级别


CVE编号：CVE-2020-2095，，，危险级别：中危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2094，，，危险级别：中危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2097，，，危险级别：高危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2096，，，危险级别：中危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2091，，，危险级别：低危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2090，，，危险级别：低危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2093，，，危险级别：中危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2092，，，危险级别：高危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-2098，，，危险级别：高危，，，CVSS分值：官方未评定


影响版本


Amazon EC2 Plugin < 1.48

Robot Framework Plugin < 2.0.1

CloudBees Plugin < 3.0.1

Redgate SQL Change Automation Plugin < 2.0.5

Gitlab Hook Plugin <= 1.4.2

Sounds Plugin <= 0.5  


缝隙概述


Jenkins是一个开源软件项目，，，是基于Java开发的一种持续集成工具，，，用于监控持续反复的工作，，，旨在提供一个盛开易用的软件平台，，，使软件的持续集成造成可能。


Jenkins官方颁布了其6个插件的9个CVE有关安全布告，，，详情如下：


Amazon EC2 Plugin 中存在CSRF缝隙（CVE-2020-2090）和短缺权限查抄缝隙（CVE-2020-2091）


Amazon EC2插件1.47和更早版本不会在执行表单验证的步骤中执行权限查抄。此外，，，这些表单验证步骤不必要POST要求，，，从而导致CSRF缝隙。


Robot Framework Plugin 中存在XXE缝隙（CVE-2020-2092)


Robot Framework Plugin 2.0.0及更早版本没有配置XML解析器来预防XML外部实体（XXE）攻击。


CloudBees Plugin 的 Health Advisor 中存在CSRF缝隙（CVE-2020-2093）和短缺权限查抄缝隙（CVE-2020-2094）


CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在执行表单验证的步骤中不执行权限查抄。此外，，，这些表单验证步骤不必要POST要求，，，从而导致CSRF缝隙。


Redgate SQL Change Automation Plugin 明文存储痛处（CVE-2020-2095）


Redgate SQL Change Automation Plugin 2.0.4及更早版本将未加密的NuGet API密钥存储在job config.xml文件中，，，作为其配置的一部门。


Gitlab Hook Plugin 存在反射型XSS（CVE-2020-2096）


Gitlab Hook Plugin 1.4.2 和更早版本没有转义 build_now 终结点中的项目名称。


Sounds Plugin 存在CSRF缝隙（CVE-2020-2098）和短缺权限查抄允许操作系统号令执行（CVE-2020-2097）


Sounds Plugin 0.5 及更早版本不在执行表单验证的URL中执行权限查抄。此外，，，这些表单验证URL不必要POST要求，，，从而导致CSRF缝隙。


缝隙验证


暂无POC/EXP。


修复建议


目前厂商已颁布升级补丁以修复缝隙，，，补丁获取链接：https://jenkins.io/security/advisory/2020-01-15/#descriptions。

缓解措施：为缓解存在缝隙尚无修复法式的插件，，，请不要对外盛开Jenkins，，，做好Jenkins用户账号治理，，，若非必要，，，请禁用受影响的插件。


参考链接


https://jenkins.io/security/advisory/2020-01-15/#descriptions