Jenkins Git Client插件远程下令执行误差清静通告

宣布时间 2019-09-18

●误差编号和级别


CVE编号：CVE-2019-10392，，，，，，危险级别：高危，，，，，，CVSS分值：8.8


●影响版本


受影响的版本


Git Client Plugin <= 2.8.4


●误差概述


Jenkins Git Client插件中发明远程下令执行误差。 。。。Git Client插件为Jenkins插件提供了git应用程序编程接口（API）。 。。。 它可以获取，，，，，，签出，，，，，，分支，，，，，，列表，，，，，，合并和标记存储库。 。。。 Git Client接口提供git会见的主要入口点。 。。。 它支持Jenkins凭证插件提供的用户名/密码凭证和私钥凭证。 。。。这个插件据官方数据装置量有24万多，，，，，，装置量较量大。 。。。


该误差源于Git客户端插件接受用户指定的值作为挪用git ls-remote的参数，，，，，，以验证指定URL处是否保存Git存储库。 。。。 这是以允许具有作业/设置权限的攻击者在Jenkins主效劳器上执行恣意系统下令作为Jenkins历程正在运行的OS用户的方法实现的。 。。。由于吸收用户输入Repository URL而没有做过滤，，，，，，导致了与git ls-remote下令拼接，，，，，，执行了用户可控的下令。 。。。


●误差验证


EXP：https://iwantmore.pizza/posts/cve-2019-10392.html。 。。。


●修复建议


升级Git Client Plugin：


https://plugins.jenkins.io/git-client。 。。。


●参考链接


https://jenkins.io/security/advisory/2019-09-12/#SECURITY-1534