Jenkins Plugins 多个安全缝隙风险公告

颁布功夫 2020-02-14

缝隙编号和级别


CVE编号：CVE-2020-2116，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2117，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2109，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2110，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2121，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2123，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2120，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2020-2115，危险级别：高危，CVSS分值：官方未评定


影响版本


Applatix Plugin <= 1.1，Azure AD Plugin <= 1.1.2，BMC Release Package and Deployment Plugin <= 1.1，Brakeman Plugin <= 0.12，Debian Package Builder Plugin <= 1.6.11，DigitalOcean Plugin <= 1.1，Dynamic Extended Choice Parameter Plugin <= 1.0.1，Eagle Tester Plugin <= 1.0.9，ECX Copy Data Management Plugin <= 1.9，FitNesse Plugin <= 1.30，Git Parameter Plugin <= 0.9.11，Google Kubernetes Engine Plugin <= 0.8.0，Harvest SCM Plugin <= 0.5.1，NUnit Plugin <= 0.25，Parasoft Environment Manager Plugin <= 2.14，Pipeline GitHub Notify Step Plugin <= 1.0.4，Pipeline: Groovy Plugin <= 2.78，RadarGun Plugin <= 1.7，S3 publisher Plugin <= 0.11.4，Script Security Plugin <= 1.69，Subversion Plugin <= 2.13.0


缝隙概述


CloudBees Jenkins（Hudson Labs）是美国CloudBees公司的一套基于Java开发的持续集成工具。该产品重要用于监控持续的软件版本颁布/测试项目和一些按时执行的工作。


近日，Jenkins颁布官方安全公告，Jenkins部门插件存在多个缝隙，涉及到如下安全问题：沙箱绕过，XSS缝隙，纯文本体式传输，XXE，CSRF，短缺权限查抄，枚举痛处ID，RCE，XSS，纯文本体式存储密码，其中高危缝隙概述如下：


Pipeline GitHub Notify Step插件中的CSRF缝隙和短缺权限查抄允许捕获痛处，CVE-2020-2116 (CSRF)/CVE-2020-2117(短缺权限查抄)


Pipeline GitHub Notify Step Plugin 1.0.4和更早版本不合实现表单验证的步骤执行权限查抄。这允许对Jenkins拥有全面/读取接见权限的用户使用通过另一种步骤获得的攻击者指定的痛处id衔接到攻击者指定的URL，从而捕获Jenkins中存储的痛处。


此表，表单验证步骤不必要POST要求，从而导致CSRF缝隙。


通过管路中的默认步骤参数表白式绕过沙盒：Groovy插件，CVE-2020-2109


管路中的沙盒�；ぃ篏roovy插件2.78及更早版本能够通过CPS转换步骤中的默认参数表白式来躲避。这使得攻击者可能指定并运行沙盒管路，以便在Jenkins主JVM的高低文中执行肆意代码。


Script Security插件中的沙盒绕过缝隙，CVE-2020-2110


Script Security插件1.69及更早版本中的沙盒�；つ芄辉诰绫颈嘁虢锥瓮ü獳ST转换注解（如@Grab）利用于导入或在其他注解中使用它们来躲避。这会影响剧本执行（通常从其他插件（如管路）挪用）以及提供沙盒剧本验证的HTTP端点。

拥有全局/读取权限的用户能够利用此缝隙绕过沙盒�；�，并在Jenkins主机上执行肆意代码。


Google Kubernetes Engine插件中的RCE缝隙，CVE-2020-2121


Google Kubernetes Engine插件0.8.0和更早版本没有配置其YAML解析器来预防肆意类型的事俘化。这导致一个远程代码执行缝隙，用户能够利用该缝隙向Google Kubernetes Engine插件的构建步骤提供YAML输入文件。


RadarGun插件中的RCE缝隙，CVE-2020-2123


RadarGun插件1.7及更早版本没有配置其YAML解析器以预防肆意类型的事俘化。这会导致远程代码执行缝隙被可能配置RadarGun插件的天生步骤的用户利用。


FitNesse插件中的XXE缝隙，CVE-2020-2120


FitNesse插件1.30及更早版本没有配置XML解析器以预防XML表部实体（XXE）攻击。


这允许用户节造其后期天生步骤的输入文件，让Jenkins解析一个精心假造的文件，该文件使用表部实体从Jenkins主机提取机密、服务器端要求伪造或回绝服务攻击。


NUnit插件中的XXE缝隙，CVE-2020-2115


NUnit插件0.25及更早版本没有配置XML解析器以预防XML表部实体（XXE）攻击。


这允许用户节造其后期天生步骤的输入文件，让Jenkins解析一个精心假造的文件，该文件使用表部实体从Jenkins主机提取机密、服务器端要求伪造或回绝服务攻击。


缝隙验证


暂无POC/EXP。


建复建议


目前部门插件已更新，获取链接：https://jenkins.io/security/advisory/2020-02-12/。请实时更新插件到如下版本：


Azure AD Plugin 更新至 1.2.0

Brakeman Plugin 更新至 0.13

FitNesse Plugin 更新至 1.31

Git Parameter Plugin 更新至 0.9.12

Google Kubernetes Engine Plugin 更新至 0.8.1

NUnit Plugin 更新至 0.26

Pipeline GitHub Notify Step Plugin 更新至 1.0.5

Pipeline: Groovy Plugin 更新至 2.79

RadarGun Plugin 更新至 1.8

S3 publisher Plugin 更新至 0.11.5

Script Security Plugin 更新至 1.70

Subversion Plugin 更新至 2.13.1


以下插件暂未建复：


Applatix Plugin

BMC Release Package and Deployment Plugin

Debian Package Builder Plugin

DigitalOcean Plugin

Dynamic Extended Choice Parameter Plugin

Eagle Tester Plugin

ECX Copy Data Management Plugin

Harvest SCM Plugin

Parasoft Environment Manager Plugin


参考链接


https://jenkins.io/security/advisory/2020-02-12/