PT-2020-15340 · Jenkins · Jenkins Harvest Scm Plugin+1

James Holderness · Publicado 2020-02-12 · Atualizado 2023-10-25 · CVE-2020-2131

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Harvest SCM, versões 0.5.1 e anteriores

Descrição

A vulnerabilidade permite que senhas sejam armazenadas sem criptografia nos arquivos config.xml das tarefas no servidor Jenkins. Essas senhas podem ser visualizadas por usuários com permissão de leitura estendida ou por aqueles que tenham acesso ao sistema de arquivos do servidor.

Recomendações

Para as versões 0.5.1 e anteriores do Jenkins Harvest SCM Plugin, atualize para uma versão posterior à 0.5.1 para garantir que as senhas sejam armazenadas com segurança. Como solução temporária, considere restringir o acesso ao sistema de arquivos do mestre e limitar as permissões de Leitura Estendida para minimizar o risco de exposição das senhas.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-256

CWE-522

Identificadores relacionados

CVE-2020-2131

GHSA-QJ7P-9HGF-X8J7

Produtos afetados

Jenkins

Jenkins Harvest Scm Plugin

Referências · 7

• https://github.com/jenkinsci/harvest-plugin · Nota
• http://openwall.com/lists/oss-security/2020/02/12/3 · Nota
• https://osv.dev/vulnerability/CVE-2020-2131 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-02-12/#SECURITY-1553 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qj7p-9hgf-x8j7 · Aviso do Fabricante
• https://t.me/cvenotify/930 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-2131 · Nota de Segurança