CVE-2016-0791

Krytyczne

Opublikowano: 07/04/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 nie stosuje algorytmu o stałym czasie do weryfikacji tokenów CSRF, co ułatwia zdalnym atakującym obejście mechanizmu ochrony CSRF za pomocą ataku brute-force.

Ocena ryzyka

Organizacje mogą być narażone na ataki, które pozwalają na obejście zabezpieczeń CSRF, co może prowadzić do nieautoryzowanego dostępu do systemu.

Rekomendacja

Zaleca się aktualizację Jenkins do najnowszej wersji, aby zapewnić odpowiednią ochronę przed atakami CSRF.

Oryginalny opis (angielski, źródło NVD)

Jenkins before 1.650 and LTS before 1.642.2 do not use a constant-time algorithm to verify CSRF tokens, which makes it easier for remote attackers to bypass a CSRF protection mechanism via a brute-force approach.