PT-2020-15390 · Jenkins · Jenkins Copr Plugin+1

James Holderness · Publicado 2020-04-16 · Atualizado 2023-10-25 · CVE-2020-2177

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Copr, versões 0.3 e anteriores

Descrição

O problema diz respeito ao armazenamento de credenciais de forma não criptografada nos arquivos job.config.xml no servidor Jenkins. Essas credenciais podem ser acessadas por usuários com permissão de leitura estendida ou por aqueles que têm acesso ao sistema de arquivos do servidor. As credenciais são armazenadas como parte da configuração do plugin.

Recomendações

Para as versões 0.3 e anteriores do Jenkins Copr Plugin, atualize para a versão 0.6.1 ou posterior para garantir que as credenciais sejam armazenadas de forma criptografada. Como solução temporária, considere restringir o acesso ao sistema de arquivos do Jenkins master e limitar as permissões de Leitura Estendida para minimizar o risco de exposição das credenciais.

Correção

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-256

CWE-312

Identificadores relacionados

CVE-2020-2177

GHSA-4WX5-C723-XVWV

Produtos afetados

Jenkins

Jenkins Copr Plugin

Referências · 7

• https://github.com/jenkinsci/copr-plugin/commit/23ea581364d64645cd90d2c5d97a4b94781f61f9 · Nota
• https://github.com/jenkinsci/copr-plugin · Nota
• https://jenkins.io/security/advisory/2020-04-16/#SECURITY-1556 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2177 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2177 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/04/16/4 · Nota
• https://osv.dev/vulnerability/GHSA-4wx5-c723-xvwv · Aviso do Fabricante