Jenkins’in yakın tarihli bir güvenlik danışmanlığı, birden fazla Jenkins eklentisini etkileyen 24 güvenlik açığını düzelttiklerini bildirdi.
Bu Kusur, 5 Yüksek, 18 Orta ve 1 Düşük önem dereceli güvenlik açığı içerir.
Etkilenen bazı eklentiler için yamalar yayınlandı, diğerleri ise hala geliştirilme aşamasında.
Etkilenen Eklentiler ve Sürümleri
Etkilenen Jenkins eklentilerinin listesi şunları içerir:
- 2.30’a kadar ve dahil olmak üzere Active Directory Eklentisi
- Assembla Auth Eklentisi 1.14’e kadar ve 1.14 dahil
- 1.0.1’e kadar ve 1.0.1 dahil olmak üzere Kıyaslama Değerlendirici Eklentisi
- 5.4.1’e kadar ve 5.4.1 dahil olmak üzere Datadog Eklentisi
- ElasticBox CI Eklentisi 5.0.1’e kadar ve 5.0.1 dahil
- Harici Monitör İş Türü Eklentisi 206.v9a_94ff0b_4a_10’a kadar ve dahil
- 0.0.46’ya kadar ve dahil olmak üzere mabl Eklentisi
- MathWorks Polyspace Eklentisi 1.0.5’e kadar ve 1.0.5 dahil
- OpenShift Oturum Açma Eklentisi 1.1.0.227.v27e08dfb_1a_20’ye kadar ve dahil
- 1.0.16’ya kadar ve 1.0.16 dahil olmak üzere Oracle Bulut Altyapısı Bilgi İşlem Eklentisi
- Orka by MacStadium Eklentisi 1.33’e kadar ve 1.33 dahil
- 0.11’e kadar ve 0.11 dahil olmak üzere boru hattı restFul API Eklentisi
- Yeniden Oluşturucu Eklentisi 320.v5a_0933a_e7d61’e kadar ve dahil
- SAML Tek Oturum Açma(SSO) Eklentisi 2.3.0’a kadar ve 2.3.0 dahil
- Sumologic Yayıncı Eklentisi 2.2.1’e kadar ve 2.2.1 dahil
- 1.2.13’e kadar (1.2.13 dahil) Test Sonuçları Toplayıcı Eklentisi
CVE(ler):
CVE’lerin listesi, önem derecesi ve ilgili etkilenen eklentileri aşağıda belirtildiği gibidir,
| özgeçmiş kimliği | önem derecesi | Tanım | Etkilenen Eklenti |
| CVE-2023-37946 | Yüksek | OpenShift Login Plugin’deki oturum sabitleme güvenlik açığı | OpenShift Oturum Açma Eklentisi 1.1.0.227.v27e08dfb_1a_20 ve öncesi |
| CVE-2023-37957 | Yüksek | Pipeline restFul API Eklentisindeki CSRF güvenlik açığı | Ardışık düzen restFul API Eklentisi 0.11 ve öncesi |
| CVE-2023-37952, CVE-2023-37953 | Yüksek | mabl Plugin’deki CSRF güvenlik açığı ve eksik izin kontrolleri, kimlik bilgilerinin alınmasına izin verir | mabl Eklentisi 0.0.46 ve öncesi |
| CVE-2023-37942 | Yüksek | Harici Monitör İş Türü Eklentisinde XXE güvenlik açığı | Harici Monitör İş Türü Eklentisi 206.v9a_94ff0b_4a_10 ve öncesi |
| CVE-2023-37961 | Orta | Assembla Auth Plugin’deki CSRF güvenlik açığı | Assembla Kimlik Doğrulama Eklentisi 1.14 ve öncesi |
| CVE-2023-37947 | Orta | OpenShift Oturum Açma Eklentisinde açık yeniden yönlendirme güvenlik açığı | OpenShift Oturum Açma Eklentisi 1.1.0.230.v5d7030b_f5432 ve öncesi |
| CVE-2023-37954 | Orta | Rebuilder Plugin’deki CSRF güvenlik açığı | Yeniden Oluşturucu Eklentisi 320.v5a_0933a_e7d61 ve öncesi |
| CVE-2023-37948 | Orta | Oracle Cloud Infrastructure Bilgi İşlem Eklentisinde eksik SSH ana bilgisayar anahtarı doğrulaması | Oracle Bulut Altyapısı Bilgi İşlem Eklentisi 1.0.16 ve öncesi |
| CVE-2023-37958, CVE-2023-37959 | Orta | Sumologic Publisher Plugin’de CSRF güvenlik açığı ve eksik izin kontrolleri | Sumologic Publisher Plugin 2.2.1 ve öncesi |
| CVE-2023-37962, CVE-2023-37963 | Orta | Benchmark Evaluator Plugin’de CSRF güvenlik açığı ve eksik izin kontrolleri | Kıyaslama Değerlendirici Eklentisi 1.0.1 ve öncesi |
| CVE-2023-37955, CVE-2023-37956 | Orta | Test Sonuçları Toplayıcı Eklentisinde CSRF güvenlik açığı ve eksik izin denetimi | Test Sonuçları Toplayıcı Eklentisi 1.2.13 ve öncesi |
| CVE-2023-37960 | Orta | MathWorks Polyspace Eklentisinde rastgele dosya okuma güvenlik açığı | MathWorks Polyspace Eklentisi 1.0.5 ve öncesi |
| CVE-2023-37949 | Orta | Orka by MacStadium Plugin’de eksik izin kontrolü, kimlik bilgilerinin alınmasına izin verir | Orka by MacStadium Plugin 1.33 ve öncesi |
| CVE-2023-37944 | Orta | Datadog Eklentisinde eksik izin denetimi, kimlik bilgilerinin alınmasına izin verir | Datadog Eklentisi 5.4.1 ve öncesi |
| CVE-2023-37964, CVE-2023-37965 | Orta | ElasticBox CI Eklentisindeki CSRF güvenlik açığı ve eksik izin kontrolleri, kimlik bilgilerinin alınmasına izin verir | ElasticBox CI Eklentisi 5.0.1 ve öncesi |
| CVE-2023-37950 | Orta | Mabl Eklentisinde eksik izin denetimi, kimlik bilgilerinin numaralandırılmasına izin verir | mabl Eklentisi 0.0.46 ve öncesi |
| CVE-2023-37951 | Orta | Mabl Eklentisinde sistem kapsamlı kimlik bilgilerinin açığa çıkarılması | mabl Eklentisi 0.0.46 ve öncesi |
| CVE-2023-37945 | Orta | SAML Çoklu Oturum Açma(SSO) Eklentisinde izin denetimi eksik | SAML Çoklu Oturum Açma(SSO) Eklentisi 2.3.0 ve öncesi |
| CVE-2023-37943 | Düşük | Active Directory Eklentisi tarafından düz metin olarak iletilen parola | Active Directory Eklentisi 2.30.1 ve öncesi |
Yüksek Derecede Güvenlik Açıkları
CVE-2023-37946: Oturum Sabitleme Güvenlik Açığı
Bu güvenlik açığı, önceki oturumların geçersiz kılınmaması nedeniyle OpenShift Login Plugin’deki hatalı oturum yönetimi nedeniyle ortaya çıkar. Bu, tehdit aktörlerinin sosyal mühendislik teknikleriyle yönetici erişimi elde etmesine izin verebilir.
Bu güvenlik açığı için CVSS Puanı henüz onaylanmadı.
CVE-2023-37957: İşlem Hattında CSRF güvenlik açığı
Bu güvenlik açığı, Siteler Arası İstek Sahteciliği (CSRF) ile sonuçlanan bir HTTP uç noktasına POST isteklerinin olmaması nedeniyle oluşur.
Bir saldırgan, saldırgan tarafından belirtilen bir URL ile Jenkins’e bağlanabilir ve bu da yeni oluşturulan bir JCLI belirteciyle bir kurbanın kimliğine bürünmesine neden olur. Bu güvenlik açığı için CVSS Puanı henüz onaylanmadı.
CVE-2023-37952, CVE-2023-37953: CSRF Güvenlik Açığı ve Eksik İzin
Birkaç HTTP uç noktası, tehdit aktörlerinin saldırgan tarafından belirtilen URL ve başka bir yöntemle toplanan kimlik bilgisi kimlikleri aracılığıyla Genel/Okuma izinleriyle Jenkins’e bağlantı elde etmesine izin veren izin kontrolleri gerçekleştirmediğinden bir güvenlik açığı bulunmaktadır.
Buna ek olarak, bu uç noktalar, Siteler Arası İstek Sahteciliği ile sonuçlanan POST istekleri gerektirmez. Bu güvenlik açıkları için CVSS Puanı henüz onaylanmadı.
CVE-2023-37942: Harici Monitörde XXE güvenlik açığı
Bu güvenlik açığı, Harici XML Varlığı (XXE) saldırılarını önleyen XML ayrıştırıcısının yanlış yapılandırılması nedeniyle oluşur.
Bu, tehdit aktörlerinin hazırlanmış bir HTTP isteğini, hassas bilgilerin Jenkins Denetleyicisinden veya Sunucu Tarafı İstek Sahtekarlığından (SSRF) çıkarılmasıyla sonuçlanan XML verileriyle ayrıştırmasına olanak tanır.
Bu güvenlik açığı için CVSS Puanı henüz onaylanmadı.
Sabit Eklentiler
Jenkins, etkilenen eklentilerden bazılarını düzeltti;
- Active Directory Eklentisi 2.30.1 sürümüne güncellenmelidir
- Datadog Eklentisi 5.4.2 sürümüne güncellenmelidir
- Harici Monitör İş Türü Eklentisi, 207.v98a_a_37a_85525 sürümüne güncellenmelidir
- mabl Eklentisi 0.0.47 sürümüne güncellenmelidir
- OpenShift Oturum Açma Eklentisi, 1.1.0.230.v5d7030b_f5432 sürümüne güncellenmelidir
- Oracle Bulut Altyapısı Bilgi İşlem Eklentisi, 1.0.17 sürümüne güncellenmelidir
- Orka by MacStadium Eklentisi 1.34 sürümüne güncellenmelidir
- SAML Tek Oturum Açma(SSO) Eklentisi 2.3.1 sürümüne güncellenmelidir
Düzeltilmemiş Eklentiler
Düzeltmelerin mevcut olmadığı eklentiler şunları içerir:
- Kimlik Doğrulama Eklentisini Birleştirin
- Kıyaslama Değerlendirici Eklentisi
- ElasticBox CI Eklentisi
- MathWorks Polyspace Eklentisi
- Pipeline restFul API Eklentisi
- Yeniden Oluşturucu Eklentisi
- Sumologic Yayıncı Eklentisi
- Test Sonuçları Toplayıcı Eklentisi
Bu Jenkins eklentilerinin kullanıcılarına, sistemlere yetkisiz erişimi önlemek için en son sürümlere yükseltmeleri önerilir. Diğer eklentiler hala düzeltilmektedir ve yamalar henüz kullanıma sunulmamıştır.
Tüm bu güvenlik açıkları hakkında daha fazla ayrıntı Jenkins Güvenlik Danışma Sayfasında bulunabilir.