Lack of authentication mechanism for webhook in CloudBees Docker Hub/Registry Notification Plugin
CloudBees Docker Hub/Registry Notification Plugin provides several webhook endpoints that can be used to trigger builds when Docker images used by a job have been rebuilt.
In CloudBees Docker Hub/Registry Notification Plugin 2.6.2 and earlier, these endpoints can be accessed without authentication.
This allows unauthenticated attackers to trigger builds of jobs corresponding to the attacker-specified repository.
CloudBees Docker Hub/Registry Notification Plugin 2.6.2.1 requires a token as a part of webhook URLs, which will act as authentication for the webhook endpoint. As a result, all webhook URLs in the plugin will be different after updating the plugin.
Administrators can set the Java system property org.jenkinsci.plugins.registry.notification.webhook.JSONWebHook.DO_NOT_REQUIRE_API_TOKEN to true to disable this fix.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.jenkins-ci.plugins:dockerhub-notification | < 2.6.2.1 | 2.6.2.1 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2022-45385
- https://github.com/jenkinsci/dockerhub-notification-plugin/commit/1163d4f297af23266c032fc66bd603b97f9ecd4b
- https://github.com/jenkinsci/dockerhub-notification-plugin
- https://www.jenkins.io/security/advisory/2022-11-15/#SECURITY-2843
- http://www.openwall.com/lists/oss-security/2022/11/15/4
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N- Słabość (CWE)
CWE-862- Platforma
- Java / Kotlin (Maven)
- Paczka
org.jenkins-ci.plugins:dockerhub-notification- Ujawniono
- 16.11.2022
- Aktualizacja
- 11.10.2026 12:21
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-v535-pc6r-77qh - CC BY 4.0
Historia podatności: org.jenkins-ci.plugins:dockerhub-notification
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.