PT-2020-15336 · Jenkins · Jenkins Bmc Release Package/Deployment Plugin+1

James Holderness · Publicado 2020-02-12 · Atualizado 2023-10-25 · CVE-2020-2127

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.0

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Jenkins BMC Release Package e Deployment Plugin, versões 1.1 e anteriores

Descrição

A vulnerabilidade permite que credenciais sejam armazenadas sem criptografia no arquivo de configuração global do Jenkins master. Essas informações podem ser visualizadas por usuários com acesso ao sistema de arquivos do master. Não há informações sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para o Jenkins BMC Release Package e o Deployment Plugin nas versões 1.1 e anteriores, como solução temporária, considere restringir o acesso ao arquivo de configuração global no Jenkins master para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-256

CWE-522

Identificadores relacionados

CVE-2020-2127

GHSA-2J3R-X6XC-QQQJ

Produtos afetados

Jenkins

Jenkins Bmc Release Package/Deployment Plugin

Referências · 7

• https://github.com/jenkinsci/bmc-rpd-plugin · Nota
• https://osv.dev/vulnerability/CVE-2020-2127 · Aviso do Fabricante
• https://t.me/cvenotify/926 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2020/02/12/3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2127 · Nota de Segurança
• https://jenkins.io/security/advisory/2020-02-12/#SECURITY-1547 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2j3r-x6xc-qqqj · Aviso do Fabricante