Múltiples vulnerabilidades en Jenkins
Posted date 29/08/2019
Importance
4 - Alta
Affected Resources
- Jenkins weekly, versiones 2.191 y anteriores;
- Jenkins LTS, versiones 2.176.2 y anteriores.
Description
Jenkins ha publicado 2 vulnerabilidades, una de severidad alta y otra media. La explotación de alguna de estas vulnerabilidades podría permitir a un atacante implementar ataques CSRF o realizar ataques del tipo cross-site scripting almacenado.
Solution
Aplicar las siguientes actualizaciones:
- Jenkins weekly, versión 2.192;
- Jenkins LTS, versión 2.176.3.
Detail
- La posibilidad de crear tokens CSRF sin el correspondiente ID de sesión web, podría permitía a los atacantes obtener un token CSRF sin el ID de sesión asociado para implementar ataques CSRF, siempre y cuando el token fuera creado para el usuario anónimo (y solo podría ser usado para acciones que el usuario anónimo pudiera realizar), la dirección IP de la víctima permaneciera inalterada (a menos que la opción de compatibilidad de proxy estuviera activada) y esta no tuviera una sesión web válida en el momento del ataque. Se ha asignado el identificador CVE-2019-10384 para esta vulnerabilidad.
- La incorrecta comprobación de la URL del sitio de actualización presente en algunos mensajes de estado, mostrados en el centro de actualización, resultó en una vulnerabilidad de tipo cross-site scripting almacenado, que podría ser explotable por los administradores, afectando a otros administradores. Se ha asignado el identificador CVE-2019-10383 para esta vulnerabilidad.
References list
Etiquetas