PT-2020-15424 · Jenkins · Jenkins Testcomplete Support Plugin+1

CVE-2020-2209 · Publicado 2020-07-02 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin de suporte ao Jenkins TestComplete, versões 2.4.1 e anteriores

Descrição

A vulnerabilidade permite que uma senha seja armazenada sem criptografia nos arquivos config.xml das tarefas no servidor Jenkins. Ela pode ser visualizada por usuários com permissão de leitura estendida ou acesso ao sistema de arquivos do servidor.

Recomendações

Para as versões 2.4.1 e anteriores do plugin de suporte ao Jenkins TestComplete, atualize para a versão 2.5.2 ou posterior para resolver o problema.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-256

CWE-522

Identificadores relacionados

CVE-2020-2209

GHSA-R32R-F6WR-CC3W

Produtos afetados

Jenkins

Jenkins Testcomplete Support Plugin

Referências · 10

• https://github.com/jenkinsci/testcomplete-plugin · Nota
• https://github.com/jenkinsci/testcomplete-plugin/commit/ca783d3b6be28b13f82865afa6a8888795d57d10 · Nota
• https://github.com/jenkinsci/testcomplete-plugin/commit/00988873c6ea7e8d081380e4262538960efd6bf1 · Nota
• https://github.com/jenkinsci/testcomplete-plugin/commit/91dae11421b70a334d2058286e30402cf2f86d4b · Nota
• https://jenkins.io/security/advisory/2020-07-02/#SECURITY-1686 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/07/02/7 · Nota
• https://t.me/cvenotify/4816 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-2209 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2209 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-r32r-f6wr-cc3w · Aviso do Fabricante