PT-2020-15375 · Jenkins · Jenkins Skytap Cloud Ci Plugin+1

James Holderness · Publicado 2020-03-09 · Atualizado 2023-10-25 · CVE-2020-2157

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.0

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Skytap Cloud CI, versões 2.07 e anteriores

Descrição

O problema diz respeito à transmissão de credenciais configuradas em texto simples como parte dos formulários de configuração de tarefas, o que pode resultar na exposição dessas credenciais. As credenciais são armazenadas criptografadas no disco em arquivos config.xml, mas são transmitidas em texto simples pelo plugin. Isso poderia permitir que usuários com permissão de leitura estendida visualizassem essas credenciais.

Recomendações

Para o Jenkins Skytap Cloud CI Plugin versões 2.07 e anteriores, considere atualizar para uma versão que corrija esse problema, já que a versão atual transmite credenciais em texto simples.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2020-2157

GHSA-Q2WV-M3PQ-XPV9

Produtos afetados

Jenkins

Jenkins Skytap Cloud Ci Plugin

Referências · 7

• https://github.com/jenkinsci/skytap-cloud-plugin · Nota
• http://openwall.com/lists/oss-security/2020/03/09/1 · Nota
• https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1522 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2157 · Aviso do Fabricante
• https://t.me/cvenotify/1415 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-2157 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-q2wv-m3pq-xpv9 · Aviso do Fabricante