BDU:2023-00487

Опубликовано: 26 янв. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость плагина Jenkins Script Security Plugin связана с ошибками при обработке данных конструктором карт. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выйти из изолированной программной среды и выполнить произвольный код в контексте JVM контроллера Jenkins

Вендор

Red Hat Inc.

CD Foundation

Наименование ПО

OpenShift Container Platform

OpenShift Developer Tools and Services

Jenkins Script Security

Версия ПО

3.11 (OpenShift Container Platform)

4 (OpenShift Container Platform)

- (OpenShift Developer Tools and Services)

до 1229.v4880b_b_e905a_6 (Jenkins Script Security)

Тип ПО

Прикладное ПО информационных систем

Программное средство защиты

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удалённого доступа;

- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;

- использование антивирусных средств защиты для контроля загружаемых файлов.

Использование рекомендаций:

Для Jenkins Script Security Plugin:

https://www.jenkins.io/security/advisory/2023-01-24/#SECURITY-3016

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-24422

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-24422
CVE

EPSS

Процентиль: 7%

0.00027

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2023-24422

CVSS3: 8.8

redhat

около 3 лет назад

A sandbox bypass vulnerability involving map constructors in Jenkins Script Security Plugin 1228.vd93135a_2fb_25 and earlier allows attackers with permission to define and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute arbitrary code in the context of the Jenkins controller JVM.

CVE-2023-24422

CVSS3: 8.8

nvd

около 3 лет назад

GHSA-76qj-9gwh-pvv3

CVSS3: 8.8

github

около 3 лет назад

Sandbox bypass in Jenkins Script Security Plugin

EPSS

Процентиль: 7%

0.00027

Низкий

8.8 High

CVSS3

9 Critical

CVSS2