PT-2020-15360 · Jenkins · Jenkins Repository Connector Plugin+1

James Holderness · Publicado 2020-03-09 · Atualizado 2023-10-25 · CVE-2020-2149

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Repository Connector, versões 1.2.6 e anteriores

Descrição

O problema diz respeito à transmissão de credenciais configuradas em texto simples como parte do formulário de configuração global do Jenkins. Embora as credenciais sejam armazenadas criptografadas no disco no arquivo org.jvnet.hudson.plugins.repositoryconnector.RepositoryConfiguration.xml no controlador do Jenkins, elas são enviadas em texto simples quando o formulário de configuração é transmitido. Isso pode levar à exposição das credenciais por diversos meios, incluindo extensões de navegador e vulnerabilidades de cross-site scripting.

Recomendações

Para as versões 1.2.6 e anteriores do plugin Jenkins Repository Connector, considere atualizar para uma versão que corrija este problema, pois a versão atual transmite credenciais em texto simples.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2020-2149

GHSA-4FJC-FWJ2-7XFG

Produtos afetados

Jenkins

Jenkins Repository Connector Plugin

Referências · 7

• https://github.com/jenkinsci/repository-connector-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2149 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://t.me/cvenotify/1408 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4fjc-fwj2-7xfg · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2149 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1520 · Aviso do Fabricante