Jenkins Sicherheitswarnung vom 2. Oktober 2024

Jenkins, ein beliebter Continious Delivery Dienst hat am 2.10.2024 eine Sicherheitswarnung zu mehreren Schwachstellen in Jenkins und verwandten Plugins wurde veröffentlicht:

  • SECURITY-3451 / CVE-2024-47803: Mittlere Schwere. Mehrzeilige Geheimnisse werden durch Fehlernachrichten exponiert. Problem behoben in Jenkins 2.479 und LTS 2.462.3.
  • SECURITY-3448 / CVE-2024-47804: Mittlere Schwere. Umgehung der Einschränkungen bei der Erstellung von Elementen über Jenkins CLI oder REST API. Behoben in Jenkins 2.479 und LTS 2.462.3.
  • SECURITY-3373 / CVE-2024-47805: Mittlere Schwere. Enthüllung verschlüsselter Zugangsdaten über REST API oder CLI im Credentials Plugin. Behoben in Version 1381.v2c3a_12074da_b_.
  • SECURITY-3441 (1 & 2) / CVE-2024-47806, CVE-2024-47807: Hohe Schwere. OpenId Connect Authentication Plugin validiert nicht die aud und iss Claims von ID-Token. Behoben in Version 4.355.v3a_fb_fca_b_96d4.

Nutzer sollten dringend auf die gepatchten Versionen aktualisieren, um diese Schwachstellen zu beheben.

Tags :

Related Posts

Kritische Privilege Escalation Lücke in Cisco Nexus Dashboard Fabric Controller (NDFC)

Cisco hat am 2. Oktober 2024 eine kritische Schwachstelle (CVE-2024-20432) im Cisco Nexus Dashboard Fabric Controller (NDFC) bekannt gegeben. Die Lücke ermöglicht es einem authentifizierten, gering privilegierten Angreifer, beliebige Befehle auf einem betroffenen Gerät auszuführen. Diese Schwachstelle wird durch unzureichende Benutzerautorisierung und mangelhafte Validierung der Befehlsargumente verursacht.

Read More

Kritische XSS-Schwachstelle in Filament: Unvalidierte ColorColumn und ColorEntry Werte

Am 27. September 2024 wurde eine kritische Sicherheitslücke in den Laravel-Komponenten von Filament (Filament Infolists und Filament Tables) gemeldet, die Versionen von v3.0.0 bis v3.2.114 betrifft. Die Lücke CVE-2024-47186 ermöglicht Cross-Site Scripting (XSS)-Angriffe, wenn nicht validierte Werte an die ColorColumn oder ColorEntry Komponenten übergeben werden, insbesondere wenn diese Werte bösartige Zeichen enthalten.

Read More

SendGrid for WordPress: Unauthentifizierte SQL Injection (CVE-2024-43965)

Am 26. August 2024 wurde eine kritische Sicherheitslücke (CVE-2024-43965) im SendGrid for WordPress Plugin bis Version 1.4 veröffentlicht, die es Angreifern ermöglicht, SQL-Injections durchzuführen. Aufgrund unzureichender Absicherung der Benutzereingaben können Angreifer ohne Authentifizierung zusätzliche SQL-Befehle einschleusen und dadurch sensible Daten aus der Datenbank extrahieren. Die Schwachstelle wurde mit einem CVSS-Score von 10.0 als äußerst kritisch eingestuft.

Read More