Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Jenkins upozorňuje na 8 zraniteľností v pluginoch
Jenkins upozorňuje na 8 zraniteľností vo svojich pluginoch. Najzávažnejšie z nich sú popísané nižšie, zvyšok nájdete na [1]. Pluginy a ich opravené verzie (ak sú k dispozícii) [1][2]: Azure Service Fabric Plugin - oprava nie je v čase publikácie k dispozícii Bitbucket Server Integration Plugin - 4.1.4 Eiffel Broadcaster Plugin - 2.10.3 Folder-based Authorization Strategy Plugin - oprava nie je v čase publikácie k dispozícii GitLab Plugin - 1.9.7 OpenId Connect Authentication Plugin - 4.453.v4d7765c854f4 Zoom Plugin - 1.6
Neautentizovanému vzdialenému útočníkovi je z dôvodu nedostatočných reštrikcií v implementácii Bitbucket Server Integration Plugin podporujúcej autentizáciu OAuth 1.0 umožnené pomocou sociálneho inžinierstva vykonať CSRF útok [1].
Zraniteľnosť sa nachádza v produkte:
- *:Bitbucket Server Integration Plugin;>=2.1.0,<=4.1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-24398 na cve.org, NVD
- CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 1. 2025.
Autentizovanému vzdialenému útočníkovi je z dôvodu nerozlišovania veľkosti písmen v OpenId Connect Authentication Plugin umožnené prihlásiť sa ako ľubovoľný používateľ a potenciálne získať administrátorské oprávnenia. Zraniteľné sú inštancie Jenkins nakonfigurované na využitie poskytovateľa OpenID Connect (OIDC) rozlišujúceho veľkosť písmen (case-sensitive). Na odstránenie zraniteľnosti je okrem aktualizácie na opravenú verziu nutné explicitne povoliť rozlišovanie veľkosti písmen v nastaveniach pluginu [1].
Zraniteľnosť sa nachádza v produkte:
- *:OpenId Connect Authentication Plugin;<4.438.440.v3f5f201de5dc;>4.438.440.v3f5f201de5dc,<=4.452.v2849b_d3945fa_
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-24399 na cve.org, NVD
- CWE-276: Incorrect Default Permissions na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 1. 2025.
Autentizovanému vzdialenému útočníkovi je z dôvodu nedostatočnej verifikácie povolených oprávnení (typicky voliteľných ako je Overall/Manage) vo Folder-based Authorization Strategy Plugin umožnené získať neoprávnený prístup k niektorým funkcionalitám [1]. Oprava zraniteľnosti nie je v čase publikácie k dispozícii [1][2].
Zraniteľnosť sa nachádza v produkte:
- *:Folder-based Authorization Strategy Plugin;<=217.vd5b_18537403e
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:L
Viac informácií:
- CVE-2025-24401 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 1. 2025.
Autentizovanému vzdialenému útočníkovi, ktorý má globálne oprávnenie Item/Configure, ale nemá ho pre žiadnu konkrétnu úlohu, je z dôvodu nedostatočnej kontroly oprávnení v GitLab Plugin umožnené získať identifikátory uložených prihlasovacích údajov typu API token a Secret text, čo môže byť v kombinácii s inou zraniteľnosťou potenciálne zneužité na získanie prihlasovacích údajov [1].
Zraniteľnosť sa nachádza v produkte:
- *:GitLab Plugin;<=1.9.6
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2025-24397 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 1. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 27. 1. 2025.