Jenkins | 插件多個安全漏洞通告
發布時間 2020-05-080x00 漏洞概述
|
產品 |
CVE ID |
類 型 |
漏洞等級 |
遠程利用 |
影響范圍 |
|
Jenkins插件 |
CVE-2020-2181 |
IPC |
中危 |
是 |
Amazon EC2 Plugin <= 1.50.1 Copy Artifact Plugin <= 1.43.1 Credentials Binding Plugin <= 1.22 CVS Plugin <= 2.15 SCM Filter Jervis Plugin <= 0.2.1 |
|
CVE-2020-2182 |
IPC |
中危 |
是 |
||
|
CVE-2020-2183 |
IA |
中危 |
是 |
||
|
CVE-2020-2184 |
CSRF |
中危 |
是 |
||
|
CVE-2020-2185 |
IVE |
低危 |
是 |
||
|
CVE-2020-2186 |
CSRF |
中危 |
是 |
||
|
CVE-2020-2187 |
IVE |
高危 |
是 |
||
|
CVE-2020-2188 |
IA |
低危 |
是 |
||
|
CVE-2020-2189 |
RCE |
中危 |
是 |
0x01 漏洞詳情
CloudBees Jenkins（Hudson Labs）是美國CloudBees公司的一套基于Java開發的持續集成工具。該產品主要用于監控持續的軟件版本發布/測試項目和一些定時執行的任務。
2020年5月6日，Jenkins官方發布安全公告修復插件中的9個漏洞，其中有5個插件受到影響。具體內容如下：
Credentials Binding 插件存在兩個憑據泄露漏洞（CVE-2020-2181、CVE-2020-2182），攻擊者可利用該漏洞獲取敏感信息。
Copy Artifact 插件存在權限校驗不當漏洞（CVE-2020-2183），該漏洞源于網絡系統或產品中缺少身份驗證措施或身份驗證強度不足。
CVS 插件存在跨站請求偽造漏洞（CVE-2020-2184），該漏洞源于WEB應用未充分驗證請求是否來自可信用戶。攻擊者可利用該漏洞通過受影響客戶端向服務器發送非預期的請求。
Amazon EC2 插件存在4 個漏洞（CVE-2020-2185、CVE-2020-2186、CVE-2020-2187、CVE-2020-2188）。CVE-2020-2185源于缺乏對SSH主機密鑰的驗證。攻擊者可利用該漏洞實施中間人攻擊。CVE-2020-2186源于WEB應用未充分驗證請求是否來自可信用戶。攻擊者可利用該漏洞通過受影響客戶端向服務器發送非預期的請求。CVE-2020-2187源于程序沒有驗證SSL/TLS證書和主機名。攻擊者可利用該漏洞實施中間人攻擊。CVE-2020-2188源于網絡系統或產品中缺少身份驗證措施或身份驗證強度不足。
SCM Filter Jervis插件存在遠程代碼執行漏洞（CVE-2020-2189），該漏洞源于SCM Filter Jervis插件默認不配置YAML解析器，導致用戶可以使用過濾器配置項目，也可以操作SCM已存儲配置過的項目內容。
0x02 漏洞檢測
建議相關用戶盡快查看當前使用的插件版本，確認是否在受影響范圍內，并及時升級至安全版本進行防護，操作步驟如下：
點擊“Manage Jenkins”進入管理模塊，選擇“Manage Plugins”管理插件。
點擊“installed”即可對當前已安裝的插件版本進行查看。
0x03 處置建議
目前Jenkins官方已經針對此次漏洞發布了新的插件版本，請相關用戶盡快升級受影響的插件至安全版本，操作步驟如下：
在插件管理界面選擇需要升級的插件，點擊“Download now and install after restart”進行更新操作。
0x04 相關新聞
https://www.openwall.com/lists/oss-security/2020/05/06/3
0x05 參考鏈接
https://www.jenkins.io/security/advisory/2020-05-06/
0x06 時間線
2020-05-06 Jenkins官方發布公告
2020-05-08 VSRC發布漏洞通告
京公網安備11010802024551號