PT-2020-15326 · Jenkins · Jenkins Azure Ad Plugin+1
Jetersen
+1
·
Publicado
2020-02-12
·
Atualizado
2023-10-25
·
CVE-2020-2119
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Azure AD, versões 1.1.2 e anteriores
Descrição
O problema diz respeito à transmissão de credenciais configuradas em texto simples como parte do formulário de configuração global do Jenkins, o que pode resultar em sua exposição. Especificamente, o Plugin Azure AD armazena um segredo de cliente em sua configuração global, que, embora seja armazenado criptografado no disco, é transmitido em texto simples pelas versões 1.1.2 e anteriores. Isso pode levar à exposição de credenciais por meio de extensões de navegador, vulnerabilidades de cross-site scripting e situações semelhantes.
Recomendações
Para as versões 1.1.2 e anteriores do Jenkins Azure AD Plugin, atualize para a versão 1.2.0 ou posterior, que transmite o segredo do cliente em sua configuração global de forma criptografada. Como solução alternativa temporária, considere restringir o acesso ao formulário de configuração global do Jenkins para minimizar o risco de exposição.
Correção
Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Azure Ad Plugin