Jenkins Plugins 多个清静误差危害通告

宣布时间 2020-03-11

误差编号和级别


CVE编号：CVE-2020-2159， ，，，， ，，危险级别：高危， ，，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2020-2138， ，，，， ，，危险级别：高危， ，，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2020-2144， ，，，， ，，危险级别：高危， ，，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2020-2158， ，，，， ，，危险级别：高危， ，，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2020-2134， ，，，， ，，危险级别：高危， ，，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2020-2135， ，，，， ，，危险级别：高危， ，，，， ，，CVSS分值：官方未评定


影响版本


CryptoMove Plugin 0.1.33和更早版本

Cobertura Plugin 1.15和更早版本

Rundeck Plugin 3.6.6和更早版本

Literate Plugin 1.0和更早的版本

Script Security Plugin 1.70和更早版本


误差概述


CloudBees Jenkins（Hudson Labs）是美国CloudBees公司的一套基于Java开发的一连集成工具。。。。该产品主要用于监控一连的软件版本宣布/测试项目和一些准时执行的使命。。。。


克日， ，，，， ，，Jenkins宣布官方清静通告， ，，，， ，，Jenkins部分插件保存多个误差， ，，，， ，，其中高危误差概述如下：


CVE-2020-2159 CryptoMove Plugin 下令注入

CryptoMove插件0.1.33和更早版本允许将OS下令的设置作为其构建办法设置的一部分执行。。。。

该下令将作为运行Jenkins的OS用户帐户在Jenkins主效劳器上执行， ，，，， ，，从而允许具有Job/Configure权限的用户在Jenkins主效劳器上执行恣意OS下令。。。。

阻止本通告宣布之时， ，，，， ，，尚无修复程序。。。。


CVE-2020-2138 Cobertura Plugin XXE

Cobertura插件1.15和更早版本没有设置其XML剖析器来避免XML外部实体（XXE）攻击。。。。

这使用户能够控制“宣布Cobertura笼罩率报告”构建后办法的输入文件， ，，，， ，，以让Jenkins剖析制作的文件， ，，，， ，，该文件使用外部实体从Jenkins主效劳器或效劳器端请求伪造中提取神秘。。。。

Cobertura插件1.16为其XML剖析器禁用了外部实体剖析。。。。   

 

CVE-2020-2144 Rundeck Plugin XXE

Rundeck插件3.6.6和更早版本没有设置其XML剖析器来避免XML外部实体（XXE）攻击。。。。

这允许具有“总体/读取”会见权限的用户让Jenkins使用XML数据剖析经由全心设计的HTTP请求， ，，，， ，，该XML请求使用外部实体从Jenkins主效劳器或效劳器端请求伪造中提取神秘。。。。

Rundeck插件3.6.7为其XML剖析器禁用了外部实体剖析。。。。   

 

CVE-2020-2158 Literate Plugin 远程代码执行

Literate Plugin 1.0和更早的版本没有设置其YAML剖析器来避免实例化恣意类型。。。。

这导致远程代码执行误差， ，，，， ，，用户可以使用该误差向Literate Plugin的构建办法提供YAML输入文件。。。。

阻止本通告宣布之日， ，，，， ，，尚无修复程序。。。。


CVE-2020-2134, CVE-2020-2135 Script Security Plugin 沙盒绕过

可以通过以下方法来规避Script Security Plugin 1.70和更早版本中的沙盒�；；；；；；；ぃ�

全心结构的结构函数挪用和主体（由于SECURITY-582的不完整修复）

全心设计的要领挪用实现GroovyInterceptable的工具

这使攻击者能够在Jenkins主JVM的上下文中指定并运行沙盒脚原来执行恣意代码。。。。


Script Security Plugin 1.71具有其他限制和健全性检查， ，，，， ，，以确保在没有被沙箱阻挡的情形下无法结构超等结构函数。。。。别的， ，，，， ，，它还阻挡对实现GroovyInterceptable的工具的要领挪用， ，，，， ，，作为对GroovyObject＃invokeMethod（String， ，，，， ，，Object）的挪用， ，，，， ，，该工具是列入黑名单的要领。。。。


误差验证


暂无PoC/EXP。。。。


修复建议


现在部分插件已更新， ，，，， ，，获取链接：https://jenkins.io/security/advisory/2020-03-09/。。。。请实时更新插件到如下版本：

CryptoMove Plugin 暂无补丁

Literate Plugin 暂无补丁

Cobertura Plugin 升级到 1.16版本

Rundeck Plugin 升级到 3.6.7版本

Script Security Plugin 升级到 1.71版本


参考链接


https://jenkins.io/security/advisory/2020-03-09/