PT-2020-15547 · Jenkins · Jenkins Appspider Plugin+1

Long Nguyen · CVE-2020-2314 · Publicado 2020-11-04 · Atualizado 2023-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins AppSpider, versões 1.0.12 e anteriores

Descrição

O problema diz respeito ao armazenamento de uma senha de forma não criptografada no arquivo de configuração global no controlador do Jenkins. Essa senha pode ser visualizada por usuários com acesso ao sistema de arquivos do controlador do Jenkins. A senha é armazenada no arquivo com.rapid7.jenkinspider.PostBuildScan.xml como parte da configuração do plugin.

Recomendações

Para as versões 1.0.12 e anteriores do plugin Jenkins AppSpider, atualize para a versão 1.0.13 ou posterior para garantir que a senha seja armazenada criptografada. Como solução temporária, considere restringir o acesso ao sistema de arquivos do controlador Jenkins para minimizar o risco de a senha não criptografada ser visualizada.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-256

CWE-522

Identificadores relacionados

CVE-2020-2314

GHSA-RM7R-XV53-XWC3

Produtos afetados

Jenkins

Jenkins Appspider Plugin

Referências · 8

• https://github.com/jenkinsci/appspider-build-scanner-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2314 · Nota de Segurança
• https://t.me/cvenotify/5140 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-2314 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2020-11-04/#SECURITY-2058 · Aviso do Fabricante
• https://t.me/cibsecurity/15831 · Publicação no Telegram
• https://t.me/cvenotify/5096 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rm7r-xv53-xwc3 · Aviso do Fabricante