Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-02959

Опубликовано: 16 янв. 2019
Источник: fstec
CVSS3: 7.2
CVSS2: 9
EPSS Низкий

Описание

Уязвимость компонента TokenBasedRememberMeServices2.java (core/src/main/java/hudson/security/TokenBasedRememberMeServices2.java) сервера автоматизации Jenkins связана с неверным сроком действия сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации с помощью специально созданной функции сохранения информации о сеансе «Запомнить меня»

Вендор

CD Foundation
Red Hat Inc.

Наименование ПО

Jenkins
OpenShift Container Platform

Версия ПО

до 2.158 включительно (Jenkins)
до 2.150.1 LTS включительно (Jenkins)
3.11 (OpenShift Container Platform)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Jenkins:
https://jenkins.io/security/advisory/2019-01-16/#SECURITY-868
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/errata/RHBA-2019:0327

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 83%
0.01946
Низкий

7.2 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVSS3: 6.6
redhat
около 7 лет назад

An improper authorization vulnerability exists in Jenkins 2.158 and earlier, LTS 2.150.1 and earlier in core/src/main/java/hudson/security/TokenBasedRememberMeServices2.java that allows attackers with Overall/RunScripts permission to craft Remember Me cookies that would never expire, allowing e.g. to persist access to temporarily compromised user accounts.

CVSS3: 7.2
nvd
около 7 лет назад

An improper authorization vulnerability exists in Jenkins 2.158 and earlier, LTS 2.150.1 and earlier in core/src/main/java/hudson/security/TokenBasedRememberMeServices2.java that allows attackers with Overall/RunScripts permission to craft Remember Me cookies that would never expire, allowing e.g. to persist access to temporarily compromised user accounts.

CVSS3: 7.2
debian
около 7 лет назад

An improper authorization vulnerability exists in Jenkins 2.158 and ea ...

CVSS3: 7.2
github
больше 3 лет назад

Improper Authorization in Jenkins Core

EPSS

Процентиль: 83%
0.01946
Низкий

7.2 High

CVSS3

9 Critical

CVSS2