Jenkins | 插件多个安全缝隙公告
颁布功夫 2020-05-080x00 缝隙概述
|
产品 |
CVE ID |
类 型 |
缝隙等级 |
远程利用 |
影响领域 |
|
Jenkins插件 |
CVE-2020-2181 |
IPC |
中危 |
是 |
Amazon EC2 Plugin <= 1.50.1 Copy Artifact Plugin <= 1.43.1 Credentials Binding Plugin <= 1.22 CVS Plugin <= 2.15 SCM Filter Jervis Plugin <= 0.2.1 |
|
CVE-2020-2182 |
IPC |
中危 |
是 |
||
|
CVE-2020-2183 |
IA |
中危 |
是 |
||
|
CVE-2020-2184 |
CSRF |
中危 |
是 |
||
|
CVE-2020-2185 |
IVE |
低危 |
是 |
||
|
CVE-2020-2186 |
CSRF |
中危 |
是 |
||
|
CVE-2020-2187 |
IVE |
高危 |
是 |
||
|
CVE-2020-2188 |
IA |
低危 |
是 |
||
|
CVE-2020-2189 |
RCE |
中危 |
是 |
0x01 缝隙详情
CloudBees Jenkins（Hudson Labs）是美国CloudBees公司的一套基于Java开发的持续集成工具。该产品重要用于监控持续的软件版本颁布/测试项目和一些按时执行的工作。
2020年5月6日 ，Jenkins官方颁布安全布告建复插件中的9个缝隙 ，其中有5个插件受到影响。具体内容如下：
Credentials Binding 插件存在两个痛处泄露缝隙（CVE-2020-2181、CVE-2020-2182） ，攻击者可利用该缝隙获取敏感信息。
Copy Artifact 插件存在权限校验不当缝隙（CVE-2020-2183） ，该缝隙源于网络系统或产品中短缺身份验证措施或身份验证强度不及。
CVS 插件存在跨站要求伪造缝隙（CVE-2020-2184） ，该缝隙源于WEB利用未充分验证要求是否来自可信誉户。攻击者可利用该缝隙通过受影响客户端向服务器发送非预期的要求。
Amazon EC2 插件存在4 个缝隙（CVE-2020-2185、CVE-2020-2186、CVE-2020-2187、CVE-2020-2188）。CVE-2020-2185源于不足对SSH主机密钥的验证。攻击者可利用该缝隙执行中央人攻击。CVE-2020-2186源于WEB利用未充分验证要求是否来自可信誉户。攻击者可利用该缝隙通过受影响客户端向服务器发送非预期的要求。CVE-2020-2187源于法式没有验证SSL/TLS证书和主机名。攻击者可利用该缝隙执行中央人攻击。CVE-2020-2188源于网络系统或产品中短缺身份验证措施或身份验证强度不及。
SCM Filter Jervis插件存在远程代码执行缝隙（CVE-2020-2189） ，该缝隙源于SCM Filter Jervis插件默认不配置YAML解析器 ，导致用户能够使用过滤器配置项目 ，也能够操作SCM已存储配置过的项目内容。
0x02 缝隙检测
建议有关用户尽快查看当前使用的插件版本 ，确认是否在受影响领域内 ，并实时升级至安全版本进行防护 ，操作步骤如下：
点击“Manage Jenkins”进入治理� ？� ，选择“Manage Plugins”治理插件。
点击“installed”即可对当前已装置的插件版本进行查看。
0x03 措置建议
目前Jenkins官方已经针对这次缝隙颁布了新的插件版本 ，请有关用户尽快升级受影响的插件至安全版本 ，操作步骤如下：
在插件治理界面选择必要升级的插件 ，点击“Download now and install after restart”进行更新操作。
0x04 有关新闻
https://www.openwall.com/lists/oss-security/2020/05/06/3
0x05 参考链接
https://www.jenkins.io/security/advisory/2020-05-06/
0x06 功夫线
2020-05-06 Jenkins官方颁布布告
2020-05-08 VSRC颁布缝隙公告
京公网安备11010802024551号