PT-2020-15331 · Jenkins · Jenkins Dynamic Extended Choice Parameter Plugin+1

James Holderness · CVE-2020-2124 · Publicado 2020-02-12 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Dynamic Extended Choice Parameter, versões 1.0.1 e anteriores

Descrição

O problema diz respeito ao armazenamento de senhas sem criptografia nos arquivos job config.xml no servidor Jenkins. Isso permite que usuários com permissão de leitura estendida ou acesso ao sistema de arquivos do servidor visualizem as senhas.

Recomendações

Para o plugin Jenkins Dynamic Extended Choice Parameter nas versões 1.0.1 e anteriores, atualize para uma versão que criptografe as senhas adequadamente para impedir o acesso não autorizado.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-256

CWE-522

Identificadores relacionados

CVE-2020-2124

GHSA-H6PP-V4J6-W76C

Produtos afetados

Jenkins

Jenkins Dynamic Extended Choice Parameter Plugin

Referências · 7

• https://github.com/jenkinsci/dynamic-extended-choice-parameter-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2124 · Nota de Segurança
• https://t.me/cvenotify/923 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2020/02/12/3 · Nota
• https://osv.dev/vulnerability/CVE-2020-2124 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-02-12/#SECURITY-1560 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-h6pp-v4j6-w76c · Aviso do Fabricante