For the English version of this alert, click here.
Allele Security Alert
ASA-2019-00103
Identificador(es)
ASA-2019-00103, SECURITY-818, CVE-2019-1003020
Título
A vulnerabilidade de Cross-Site Request Forgery (CSRF) e as verificações de permissão ausentes no plugin do Kanboard permitiram Server-Side Request Forgery (SSRF)
Fabricante(s)
CloudBees, Inc
Produto(s)
Jenkins
Versão(ões) afetada(s)
Kanboard Plugin até e incluindo 1.5.10
Versão(ões) corrigida(s)
Kanboard Plugin versão 1.5.11
Prova de conceito
Desconhecida
Descrição
O Kanboard Plugin não executou verificações de permissão em um método que implementa a validação de formulário. Isso permitiu que os usuários com acesso Overall/Read ao Jenkins enviassem uma solicitação GET a um URL especificado pelo atacante.
Além disso, esse método de validação de formulário não exigia solicitações POST, resultando em uma vulnerabilidade Cross-Site Request Forgery (CSRF).
Detalhes técnicos
Desconhecido
Créditos
Thomas de Grenier de Latour
Referência(s)
Jenkins Security Advisory 2019-01-28
https://jenkins.io/security/advisory/2019-01-28
Jenkins Plugins
https://plugins.jenkins.io/kanboard
CVE-2019-1003020
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1003020
CVE-2019-1003020
https://nvd.nist.gov/vuln/detail/CVE-2019-1003020
Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.
Última modificação: 5 março 2019