Shared projects are unconditionally discovered by Jenkins GitLab Branch Source Plugin
GitLab allows sharing a project with another group.
Jenkins GitLab Branch Source Plugin 684.vea_fa_7c1e2fe3 and earlier unconditionally discovers projects that are shared with the configured owner group.
This allows attackers to configure and share a project, resulting in a crafted Pipeline being built by Jenkins after the next scan of the group’s projects.
In GitLab Branch Source Plugin 688.v5fa_356ee8520, the default strategy for discovering projects does not discover projects shared with the configured owner group. To discover projects shared with the configured owner group, use the new trait "Discover shared projects".
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | io.jenkins.plugins:gitlab-branch-source | < 688.v5fa | 688.v5fa |
Verweise
- https://nvd.nist.gov/vuln/detail/CVE-2024-23901
- https://github.com/jenkinsci/gitlab-branch-source-plugin/commit/969ccece8e2185ecdb7c342b27173af1ab17045c
- https://github.com/jenkinsci/gitlab-branch-source-plugin
- https://www.jenkins.io/security/advisory/2024-01-24/#SECURITY-3040
- http://www.openwall.com/lists/oss-security/2024/01/24/6
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N- Schwäche (CWE)
CWE-200- Plattform
- Java / Kotlin (Maven)
- Paket
io.jenkins.plugins:gitlab-branch-source- Veröffentlicht
- 24.01.2024
- Aktualisiert
- 11.10.2026 11:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-fw9h-cxx9-gfq3 - CC BY 4.0
Schwachstellenhistorie: io.jenkins.plugins:gitlab-branch-source
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 3
- Erste → letzte
- 01.2024 01.2024
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Mittel 2
- Niedrig 1
Veröffentlichungen pro Jahr
- 2024: 3
- 2025: 0
- 2026: 0
-
Shared projects are unconditionally discovered by Jenkins GitLab Branch Source Plugin dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.