Jenkins Plugins 多個安全漏洞風險通告
發布時間 2020-01-17漏洞編號和級別
CVE編號：CVE-2020-2095，危險級別：中危，CVSS分值：官方未評定
CVE編號：CVE-2020-2094，危險級別：中危，CVSS分值：官方未評定
CVE編號：CVE-2020-2097，危險級別：高危，CVSS分值：官方未評定
CVE編號：CVE-2020-2096，危險級別：中危，CVSS分值：官方未評定
CVE編號：CVE-2020-2091，危險級別：低危，CVSS分值：官方未評定
CVE編號：CVE-2020-2090，危險級別：低危，CVSS分值：官方未評定
CVE編號：CVE-2020-2093，危險級別：中危，CVSS分值：官方未評定
CVE編號：CVE-2020-2092，危險級別：高危，CVSS分值：官方未評定
CVE編號：CVE-2020-2098，危險級別：高危，CVSS分值：官方未評定
影響版本
Amazon EC2 Plugin < 1.48
Robot Framework Plugin < 2.0.1
CloudBees Plugin < 3.0.1
Redgate SQL Change Automation Plugin < 2.0.5
Gitlab Hook Plugin <= 1.4.2
Sounds Plugin <= 0.5
漏洞概述
Jenkins是一個開源軟件項目，是基于Java開發的一種持續集成工具，用于監控持續重復的工作，旨在提供一個開放易用的軟件平臺，使軟件的持續集成變成可能。
Jenkins官方發布了其6個插件的9個CVE相關安全公告，詳情如下：
Amazon EC2 Plugin 中存在CSRF漏洞（CVE-2020-2090）和缺少權限檢查漏洞（CVE-2020-2091）
Amazon EC2插件1.47和更早版本不會在執行表單驗證的方法中執行權限檢查。此外，這些表單驗證方法不需要POST請求，從而導致CSRF漏洞。
Robot Framework Plugin 中存在XXE漏洞（CVE-2020-2092)
Robot Framework Plugin 2.0.0及更早版本沒有配置XML解析器來防止XML外部實體（XXE）攻擊。
CloudBees Plugin 的 Health Advisor 中存在CSRF漏洞（CVE-2020-2093）和缺少權限檢查漏洞（CVE-2020-2094）
CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在執行表單驗證的方法中不執行權限檢查。此外，這些表單驗證方法不需要POST請求，從而導致CSRF漏洞。
Redgate SQL Change Automation Plugin 明文存儲憑據（CVE-2020-2095）
Redgate SQL Change Automation Plugin 2.0.4及更早版本將未加密的NuGet API密鑰存儲在job config.xml文件中，作為其配置的一部分。
Gitlab Hook Plugin 存在反射型XSS（CVE-2020-2096）
Gitlab Hook Plugin 1.4.2 和更早版本沒有轉義 build_now 終結點中的項目名稱。
Sounds Plugin 存在CSRF漏洞（CVE-2020-2098）和缺少權限檢查允許操作系統命令執行（CVE-2020-2097）
Sounds Plugin 0.5 及更早版本不在執行表單驗證的URL中執行權限檢查。此外，這些表單驗證URL不需要POST請求，從而導致CSRF漏洞。
漏洞驗證
暫無POC/EXP。
修復建議
目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：https://jenkins.io/security/advisory/2020-01-15/#descriptions。
緩解措施：為緩解存在漏洞尚無修復程序的插件，請不要對外開放Jenkins，做好Jenkins用戶賬號管理，若非必要，請禁用受影響的插件。
參考鏈接
https://jenkins.io/security/advisory/2020-01-15/#descriptions
京公網安備11010802024551號