Security Lab

Множественные уязвимости в Jenkins

Дата публикации:07.04.2014
Всего просмотров:1095
Опасность:
Средняя
Наличие исправления: Да
Количество уязвимостей:10
CVSSv2 рейтинг: 4.3 (AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C)
5 (AV:N/AC:L/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C)
4.3 (AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C)
5 (AV:N/AC:L/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C)
5 (AV:N/AC:L/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C)
6.4 (AV:N/AC:L/Au:N/C:N/I:P/A:P/E:U/RL:OF/RC:C)
5 (AV:N/AC:L/Au:N/C:P/I:N/A:N/E:U/RL:OF/RC:C)
4.3 (AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C)
5 (AV:N/AC:L/Au:N/C:P/I:N/A:N/E:U/RL:OF/RC:C)
9.7 (AV:N/AC:L/Au:N/C:P/I:C/A:C/E:U/RL:OF/RC:C)
CVE ID: CVE-2013-5573
CVE-2014-2058
CVE-2014-2060
CVE-2014-2062
CVE-2014-2063
CVE-2014-2064
CVE-2014-2067
CVE-2014-2068
Вектор эксплуатации: Удаленная
Воздействие: Межсайтовый скриптинг
Раскрытие важных данных
Внедрение в сессию пользователя
Неавторизованное изменение данных
Обход ограничений безопасности
Компрометация системы
CWE ID: Нет данных
Наличие эксплоита: Нет данных
Уязвимые продукты: Jenkins 1.x
Уязвимые версии: Jenkins 1.x, возможно более ранние версии

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение, хищение кликов, хищение сессии пользователя, обойти ограничения безопасности, получить доступ к определенной конфиденциальной информации, манипулировать важными данными и выполнить произвольный код на целевой системе.

1. Уязвимость существует из-за недостаточной обработки входных данных в поле "Description" в разделе конфигурации пользователя. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта, при просмотре вредоносных данных.

2. Уязвимость существует из-за неизвестной ошибки. Удаленный пользователь может создать или ограничить рабочее место.

3. Уязвимость существует из-за неизвестной ошибки. Удаленный пользователь может в обход последовательности каталогов перезаписать файлы в мастере Jenkins.

4. Уязвимость существует из-за неизвестной ошибки в встроенном сервлет контейнере Winstone. Удаленный пользователь может произвести хищение сессии другого пользователя.

5. Уязвимость существует из-за неизвестной ошибки при проверке токена API. Удаленный пользователь может получить доступ к иному ограниченному функционалу.

6. Уязвимость существует из-за недостаточной проверки подлинности HTTP запросов. Удаленный пользователь может выполнить определенные неправомерные действия, если пользователь нажмет на специально сформированную clickjacking ссылку.

7. Приложение возвращает разные сообщения о ошибках имени пользователей в процессе авторизации. Удаленный пользователь может получить перечень логинов пользователей.

8. Уязвимость существует из-за недостаточной обработки входных данных. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта, при просмотре вредоносных данных.

9. Уязвимость существует из-за неизвестной ошибки, когда система диагностирует функции. Удаленный пользователь может получить доступ к иной ограниченной информации.

10. Уязвимость существует из-за недостаточной обработки входных данных в XML API перед выполнением десериализации данных с использованием XStream library.estricted информации. Удаленный пользователь может путем подачи специально сформированных данных в формате XML выполнить произвольный код Java.

URL производителя: http://jenkins-ci.org/

Решение: Установите последнюю версию 1.532.2 or 1.551 с сайта производителя.

Ссылки: http://archives.neohapsis.com/archives/fulldisclosure/2013-12/0160.html