PT-2020-15552 · Jenkins Ci+1 · Jenkins Mail Commander Plugin+1
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Mail Commander para Jenkins-ci, versão 1.0.0 e anteriores
Descrição
O problema diz respeito ao armazenamento de senhas de forma não criptografada nos arquivos job config.xml no controlador do Jenkins. Essas senhas podem ser acessadas por usuários que possuam permissão de leitura estendida ou acesso direto ao sistema de arquivos do controlador do Jenkins.
Recomendações
Para o Jenkins Mail Commander Plugin para Jenkins-ci Plugin versão 1.0.0 e anteriores, considere restringir o acesso ao sistema de arquivos do controlador Jenkins e limitar as permissões de Leitura Estendida para minimizar o risco de exposição de senhas. Como solução temporária, considere criptografar dados confidenciais manualmente até que uma correção adequada esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Mail Commander Plugin