PT-2020-15373 · Jenkins · Jenkins Deployhub Plugin+1

James Holderness · Publicado 2020-03-09 · Atualizado 2023-10-25 · CVE-2020-2156

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.0

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins DeployHub, versões 8.0.14 e anteriores

Descrição

O problema diz respeito à transmissão de credenciais configuradas em texto simples como parte dos formulários de configuração de tarefas, o que pode resultar em sua exposição. As credenciais são armazenadas criptografadas no disco em arquivos config.xml, mas são transmitidas em texto simples pelo plugin DeployHub. Isso poderia permitir que usuários com permissão de leitura estendida visualizassem essas credenciais.

Recomendações

Para as versões 8.0.14 e anteriores do plugin Jenkins DeployHub, considere restringir o acesso aos formulários de configuração de tarefas para minimizar o risco de exposição das credenciais. Como solução temporária, limite as permissões dos usuários para impedir que aqueles com permissão de Leitura Estendida acessem informações confidenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2020-2156

GHSA-HM57-4QPX-F734

Produtos afetados

Jenkins

Jenkins Deployhub Plugin

Referências · 7

• https://github.com/jenkinsci/deployhub-plugin · Nota
• https://osv.dev/vulnerability/CVE-2020-2156 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://t.me/cvenotify/1414 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hm57-4qpx-f734 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1511 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2156 · Nota de Segurança