PT-2020-15362 · Jenkins · Jenkins Quality Gates Plugin+1

James Holderness · Publicado 2020-03-09 · Atualizado 2023-10-25 · CVE-2020-2151

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Quality Gates, versões 2.5 e anteriores

Descrição

O problema diz respeito à transmissão de credenciais configuradas em texto simples como parte do formulário de configuração global do Jenkins. Isso pode resultar na exposição dessas credenciais. As credenciais são armazenadas criptografadas no disco no arquivo quality.gates.jenkins.plugin.GlobalConfig.xml no controlador do Jenkins, mas são transmitidas em texto simples como parte do formulário de configuração. Isso pode levar à exposição por meio de extensões de navegador, vulnerabilidades de cross-site scripting e situações semelhantes.

Recomendações

Para as versões 2.5 e anteriores do Jenkins Quality Gates Plugin, considere atualizar para uma versão que corrija este problema, já que a versão atual transmite credenciais em texto simples.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2020-2151

GHSA-GVCJ-72H4-8XM9

Produtos afetados

Jenkins

Jenkins Quality Gates Plugin

Referências · 7

• https://github.com/jenkinsci/quality-gates-plugin · Nota
• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://osv.dev/vulnerability/CVE-2020-2151 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gvcj-72h4-8xm9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2151 · Nota de Segurança
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1519 · Aviso do Fabricante
• https://t.me/cvenotify/1410 · Publicação no Telegram