Jenkins Plugins 多个清静误差危害通告

宣布时间 2020-01-17

误差编号和级别


CVE编号：CVE-2020-2095 ，危险级别：中危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2094 ，危险级别：中危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2097 ，危险级别：高危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2096 ，危险级别：中危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2091 ，危险级别：低危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2090 ，危险级别：低危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2093 ，危险级别：中危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2092 ，危险级别：高危 ，CVSS分值：官方未评定

CVE编号：CVE-2020-2098 ，危险级别：高危 ，CVSS分值：官方未评定


影响版本


Amazon EC2 Plugin < 1.48

Robot Framework Plugin < 2.0.1

CloudBees Plugin < 3.0.1

Redgate SQL Change Automation Plugin < 2.0.5

Gitlab Hook Plugin <= 1.4.2

Sounds Plugin <= 0.5  


误差概述


Jenkins是一个开源软件项目 ，是基于Java开发的一种一连集成工具 ，用于监控一连重复的事情 ，旨在提供一个开放易用的软件平台 ，使软件的一连集成酿成可能。


Jenkins官方宣布了其6个插件的9个CVE相关清静通告 ，详情如下：


Amazon EC2 Plugin 中保存CSRF误差（CVE-2020-2090）和缺少权限检查误差（CVE-2020-2091）


Amazon EC2插件1.47和更早版本不会在执行表单验证的要领中执行权限检查。别的 ，这些表单验证要领不需要POST请求 ，从而导致CSRF误差。


Robot Framework Plugin 中保存XXE误差（CVE-2020-2092)


Robot Framework Plugin 2.0.0及更早版本没有设置XML剖析器来避免XML外部实体（XXE）攻击。


CloudBees Plugin 的 Health Advisor 中保存CSRF误差（CVE-2020-2093）和缺少权限检查误差（CVE-2020-2094）


CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在执行表单验证的要领中不执行权限检查。别的 ，这些表单验证要领不需要POST请求 ，从而导致CSRF误差。


Redgate SQL Change Automation Plugin 明文存储凭证（CVE-2020-2095）


Redgate SQL Change Automation Plugin 2.0.4及更早版本将未加密的NuGet API密钥存储在job config.xml文件中 ，作为其设置的一部分。


Gitlab Hook Plugin 保存反射型XSS（CVE-2020-2096）


Gitlab Hook Plugin 1.4.2 和更早版本没有转义 build_now 终结点中的项目名称。


Sounds Plugin 保存CSRF误差（CVE-2020-2098）和缺少权限检查允许操作系统下令执行（CVE-2020-2097）


Sounds Plugin 0.5 及更早版本不在执行表单验证的URL中执行权限检查。别的 ，这些表单验证URL不需要POST请求 ，从而导致CSRF误差。


误差验证


暂无POC/EXP。


修复建议


现在厂商已宣布升级补丁以修复误差 ，补丁获取链接：https://jenkins.io/security/advisory/2020-01-15/#descriptions。

缓解步伐：为缓解保存误差尚无修复程序的插件 ，请不要对外开放Jenkins ，做好Jenkins用户账号管理 ，若非须要 ，请禁用受影响的插件。


参考链接


https://jenkins.io/security/advisory/2020-01-15/#descriptions