Allele Security Intelligence - validação de certificado incorreta

ASA-2019-00128 – Sourcetree: Vulnerabilidade de validação de entrada via submódulos do Git

Publicado em 12 março 201912 março 2019 por Allele Security Intelligence em Alertas

Sourcetree para macOS antes da versão 3.1.1 e Sourcetree para Windows antes da versão 3.0.17 eram ambos vulneráveis ao CVE-2018-17456. Um atacante remoto com permissão para se comprometer com um repositório git vinculado no Sourcetree para macOS ou Windows é capaz de explorar esse problema para obter a execução de código no sistema.

ASA-2019-00092 – Jenkins: Validação de certificado incorreta com StartTLS no plugin Active Directory

Publicado em 24 fevereiro 201924 fevereiro 2019 por Allele Security Intelligence em Alertas

O plugin do Active Directory executa a atualização de TLS (StartTLS) após conectar-se aos controladores de domínio por meio de LDAP inseguro. Neste modo, os certificados não foram devidamente validados, confiando efetivamente em todos os certificados, permitindo ataques man-in-the-middle. Isso afetou apenas as atualizações do TLS. O modo LDAPS, disponível definindo a propriedade do sistema hudson.plugins.active_directory.ActiveDirectorySecurityRealm.f orceLdaps como true, não foi afetado.