PT-2020-15361 · Jenkins · Jenkins Sonar Quality Gates Plugin+1

James Holderness · Publicado 2020-03-09 · Atualizado 2023-10-25 · CVE-2020-2150

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Sonar Quality Gates, versões 1.3.1 e anteriores

Descrição

O problema diz respeito à transmissão de credenciais configuradas em texto simples como parte do formulário de configuração global do Jenkins, o que pode resultar em sua exposição. As credenciais são armazenadas criptografadas no disco no arquivo org.quality.gates.jenkins.plugin.GlobalConfig.xml no controlador do Jenkins, mas são enviadas em texto simples como parte do formulário de configuração. Isso pode levar à exposição das credenciais por meio de extensões de navegador, vulnerabilidades de cross-site scripting ou situações semelhantes.

Recomendações

Para as versões 1.3.1 e anteriores do Jenkins Sonar Quality Gates Plugin, considere atualizar para uma versão em que este problema esteja resolvido, já que a versão atual transmite credenciais em texto simples.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2020-2150

GHSA-6FH3-XHWG-7HFH

Produtos afetados

Jenkins

Jenkins Sonar Quality Gates Plugin

Referências · 7

• https://github.com/jenkinsci/sonar-quality-gates-plugin · Nota
• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2150 · Nota de Segurança
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1523 · Aviso do Fabricante
• https://t.me/cvenotify/1409 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-2150 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6fh3-xhwg-7hfh · Aviso do Fabricante