PT-2021-14675 · Jenkins · Jenkins Owasp Dependency-Track Plugin+1
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins OWASP Dependency-Track, versões 3.1.0 e anteriores
Descrição
A falta de uma verificação de permissão no plugin permite que invasores com permissão Geral/Leitura se conectem a uma URL especificada pelo invasor, capturando credenciais armazenadas no Jenkins. A vulnerabilidade afeta vários pontos de extremidade HTTP, nos quais os invasores podem usar IDs de credenciais especificadas por eles para capturar credenciais de “Texto secreto”. Se nenhum ID de credencial for especificado, a credencial configurada globalmente será usada, caso esteja definida, e poderá ser capturada.
Recomendações
Para o plugin Jenkins OWASP Dependency-Track nas versões 3.1.0 e anteriores, atualize para a versão 3.1.1 ou posterior, que exige permissões apropriadas para os pontos de extremidade HTTP afetados. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade HTTP afetados para minimizar o risco de exploração.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Owasp Dependency-Track Plugin