PT-2020-15473 · Jenkins · Jenkins Team Foundation Server Plugin+1

James Holderness · Publicado 2020-09-01 · Atualizado 2023-10-25 · CVE-2020-2249

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Team Foundation Server, versões 5.157.1 e anteriores

Descrição

O problema diz respeito ao armazenamento de um segredo de webhook de forma não criptografada no arquivo de configuração global do controlador Jenkins. Especificamente, o segredo é armazenado no arquivo hudson.plugins.tfs.TeamPluginGlobalConfig.xml. Isso permite que invasores com acesso ao sistema de arquivos do controlador Jenkins visualizem o segredo.

Recomendações

Para as versões 5.157.1 e anteriores do plugin Jenkins Team Foundation Server, considere restringir o acesso ao sistema de arquivos do controlador Jenkins para minimizar o risco de exploração. Como solução temporária, restrinja o acesso ao arquivo hudson.plugins.tfs.TeamPluginGlobalConfig.xml até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Encryption of Sensitive Data

Enumeração de Fraquezas

CWE-256

CWE-311

Identificadores relacionados

CVE-2020-2249

GHSA-W6C2-JRHH-JRXG

Produtos afetados

Jenkins

Jenkins Team Foundation Server Plugin

Referências · 6

• https://github.com/jenkinsci/tfs-plugin · Nota
• https://osv.dev/vulnerability/CVE-2020-2249 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w6c2-jrhh-jrxg · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2249 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/09/01/3 · Nota
• https://jenkins.io/security/advisory/2020-09-01/#SECURITY-1506 · Aviso do Fabricante