PT-2020-15422 · Jenkins · Jenkins Slack Upload Plugin+1

Wasin Saengow · Publicado 2020-07-02 · Atualizado 2023-10-25 · CVE-2020-2208

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Slack Upload, versões 1.7 e anteriores

Descrição

A vulnerabilidade permite que usuários com permissão de leitura estendida, ou acesso ao sistema de arquivos do servidor principal, visualizem um segredo armazenado sem criptografia nos arquivos job.config.xml no servidor principal do Jenkins.

Recomendações

Para as versões 1.7 e anteriores do Jenkins Slack Upload Plugin, considere restringir o acesso ao sistema de arquivos do mestre e limitar as permissões de leitura estendida para minimizar o risco de exploração. Como solução temporária, considere criptografar os dados confidenciais armazenados nos arquivos job.config.xml até que uma solução mais permanente esteja disponível.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-256

CWE-522

Identificadores relacionados

CVE-2020-2208

GHSA-656G-HF8V-X2RW

Produtos afetados

Jenkins

Jenkins Slack Upload Plugin

Referências · 7

• https://github.com/jenkinsci/slack-uploader-plugin · Nota
• https://jenkins.io/security/advisory/2020-07-02/#SECURITY-1627 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2208 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/07/02/7 · Nota
• https://osv.dev/vulnerability/GHSA-656g-hf8v-x2rw · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2208 · Nota de Segurança
• https://t.me/cvenotify/4815 · Publicação no Telegram