PT-2020-15356 · Jenkins · Jenkins Zephyr Enterprise Test Management Plugin+2

James Holderness · Publicado 2020-03-09 · Atualizado 2023-10-25 · CVE-2020-2145

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Zephyr Enterprise Test Management, versões 1.9.1 e anteriores

Descrição

O problema diz respeito ao armazenamento da senha do Zephyr em texto simples no sistema de arquivos do Jenkins master, especificamente no arquivo de configuração global com.thed.zephyr.jenkins.reporter.ZeeReporter.xml. Isso permite que usuários com acesso ao sistema de arquivos do controlador do Jenkins visualizem a senha.

Recomendações

Para o Jenkins Zephyr Enterprise Test Management Plugin versões 1.9.1 e anteriores, atualize para a versão 1.10, que se integra ao Credentials Plugin para armazenar a senha do Zephyr de forma segura.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-256

CWE-522

Identificadores relacionados

CVE-2020-2145

GHSA-XV58-GP43-6M76

Produtos afetados

Credentials Plugin

Jenkins

Jenkins Zephyr Enterprise Test Management Plugin

Referências · 7

• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2145 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-xv58-gp43-6m76 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1596 · Aviso do Fabricante
• https://plugins.jenkins.io/zephyr-enterprise-test-management · Nota
• https://t.me/cvenotify/1404 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-2145 · Aviso do Fabricante