Podatność CVE-2016-0792
Publikacja: 2016-04-07   Modyfikacja: 2016-04-08

Opis:
Multiple unspecified API endpoints in Jenkins before 1.650 and LTS before 1.642.2 allow remote authenticated users to execute arbitrary code via serialized data in an XML file, related to XStream and groovy.util.Expando.

W naszej bazie, znaleźliśmy następujące noty dla tego CVE:
Tytuł
Autor
Data
High
Jenkins < 1.650 Java Deserialization
Janusz Piechówk...
31.07.2017
High
Jenkins XStream Groovy classpath Deserialization
Matt Byrne
19.12.2017

Typ:

CWE-20

 (Improper Input Validation)

CVSS2 => (AV:N/AC:L/Au:S/C:C/I:C/A:C)

Ogólna skala CVSS
Znaczenie
Łatwość wykorzystania
9/10
10/10
8/10
Wymagany dostęp
Złożoność ataku
Autoryzacja
Zdalny
Niska
Jednorazowa
Wpływ na poufność
Wpływ na integralność
Wpływ na dostępność
Pełny
Pełny
Pełny
Affected software
Redhat -> Openshift 
Jenkins -> Jenkins 
Cloudbees -> Jenkins 

 Referencje:
http://rhn.redhat.com/errata/RHSA-2016-1773.html
https://access.redhat.com/errata/RHSA-2016:0711
https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2016-02-24
https://www.contrastsecurity.com/security-influencers/serialization-must-die-act-2-xstream
https://www.exploit-db.com/exploits/42394/
https://www.exploit-db.com/exploits/43375/
Copyright 2024, cxsecurity.com

 

Back to Top