PT-2021-14679 · Jenkins · Jenkins Team Foundation Server Plugin+1

Daniel Beck · Publicado 2021-03-30 · Atualizado 2023-10-25 · CVE-2021-21636

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Team Foundation Server, versões 5.157.1 e anteriores

Descrição

A falta de uma verificação de permissão no plugin Jenkins Team Foundation Server permite que invasores com permissão Geral/Leitura enumerem os IDs das credenciais armazenadas no Jenkins. Esse problema afeta o endpoint HTTP do plugin, permitindo que invasores obtenham IDs de credenciais que podem ser usados como parte de um ataque para capturar as credenciais por meio de outra vulnerabilidade.

Recomendações

Para as versões 5.157.1 e anteriores do plugin Jenkins Team Foundation Server, como solução temporária, considere restringir o acesso ao endpoint HTTP afetado até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2021-21636

GHSA-VG28-9F43-GMH5

Produtos afetados

Jenkins

Jenkins Team Foundation Server Plugin

Referências · 8

• https://github.com/jenkinsci/tfs-plugin · Nota
• https://jenkins.io/security/advisory/2021-03-30/#SECURITY-2283%20%281%29 · Nota
• http://openwall.com/lists/oss-security/2021/03/30/1 · Nota
• https://osv.dev/vulnerability/GHSA-vg28-9f43-gmh5 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2021-03-30/#SECURITY-2283%20(1) · Nota
• https://t.me/cvenotify/12323 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21636 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21636 · Nota de Segurança