Jenkins Plugins 多个安全缝隙风险公告

颁布功夫 2020-03-11

缝隙编号和级别


CVE编号：：CVE-2020-2159，危险级别：：高危，CVSS分值：：官方未评定

CVE编号：：CVE-2020-2138，危险级别：：高危，CVSS分值：：官方未评定

CVE编号：：CVE-2020-2144，危险级别：：高危，CVSS分值：：官方未评定

CVE编号：：CVE-2020-2158，危险级别：：高危，CVSS分值：：官方未评定

CVE编号：：CVE-2020-2134，危险级别：：高危，CVSS分值：：官方未评定

CVE编号：：CVE-2020-2135，危险级别：：高危，CVSS分值：：官方未评定


影响版本


CryptoMove Plugin 0.1.33和更早版本

Cobertura Plugin 1.15和更早版本

Rundeck Plugin 3.6.6和更早版本

Literate Plugin 1.0和更早的版本

Script Security Plugin 1.70和更早版本


缝隙概述


CloudBees Jenkins（Hudson Labs）是美国CloudBees公司的一套基于Java开发的持续集成工具。。该产品重要用于监控持续的软件版本颁布/测试项目和一些按时执行的工作。。


近日，Jenkins颁布官方安全公告，Jenkins部门插件存在多个缝隙，其中高危缝隙概述如下：：


CVE-2020-2159 CryptoMove Plugin 号令注入

CryptoMove插件0.1.33和更早版本允许将OS号令的配置作为其构建步骤配置的一部门执行。。

该号令将作为运行Jenkins的OS用户帐户在Jenkins主服务器上执行，从而允许拥有Job/Configure权限的用户在Jenkins主服务器上执行肆意OS号令。。

截至本布告颁布之时，尚无修复法式。。


CVE-2020-2138 Cobertura Plugin XXE

Cobertura插件1.15和更早版本没有配置其XML解析器来预防XML外部实体（XXE）攻击。。

这使用户可能节制“颁布Cobertura覆盖率汇报”构建后步骤的输入文件，以让Jenkins解析制作的文件，该文件使用外部实体从Jenkins主服务器或服务器端要求伪造中提取奥秘。。

Cobertura插件1.16为其XML解析器禁用了外部实体解析。。   

 

CVE-2020-2144 Rundeck Plugin XXE

Rundeck插件3.6.6和更早版本没有配置其XML解析器来预防XML外部实体（XXE）攻击。。

这允许拥有“总体/读取”接见权限的用户让Jenkins使用XML数据解析经过精心设计的HTTP要求，该XML要求使用外部实体从Jenkins主服务器或服务器端要求伪造中提取机密。。

Rundeck插件3.6.7为其XML解析器禁用了外部实体解析。。   

 

CVE-2020-2158 Literate Plugin 远程代码执行

Literate Plugin 1.0和更早的版本没有配置其YAML解析器来预防实例化肆意类型。。

这导致远程代码执行缝隙，用户能够利用该缝隙向Literate Plugin的构建步骤提供YAML输入文件。。

截至本布告颁布之日，尚无修复法式。。


CVE-2020-2134, CVE-2020-2135 Script Security Plugin 沙盒绕过

能够通过以下方式来躲避Script Security Plugin 1.70和更早版本中的沙盒�；；ぃ�：

精心机关的机关函数挪用和主体（由于SECURITY-582的不齐全修复）

精心设计的步骤挪用实现GroovyInterceptable的对象

这使攻击者可能在Jenkins主JVM的高低文中指定并运行沙盒脚正本执行肆意代码。。


Script Security Plugin 1.71拥有其他限度和健全性查抄，以确保在没有被沙箱拦截的情况下无法机关超等机关函数。。此外，它还拦截对实现GroovyInterceptable的对象的步骤挪用，作为对GroovyObject＃invokeMethod（String，Object）的挪用，该对象是列入黑名单的步骤。。


缝隙验证


暂无PoC/EXP。。


修复建议


目前部门插件已更新，获取链接：：https://jenkins.io/security/advisory/2020-03-09/。。请实时更新插件到如下版本：：

CryptoMove Plugin 暂无补丁

Literate Plugin 暂无补丁

Cobertura Plugin 升级到 1.16版本

Rundeck Plugin 升级到 3.6.7版本

Script Security Plugin 升级到 1.71版本


参考链接


https://jenkins.io/security/advisory/2020-03-09/