PT-2022-15851 · Hashicorp+1 · Jenkins Hashicorp Vault Plugin+1

Jasen Minton · Publicado 2022-01-12 · Atualizado 2023-11-15 · CVE-2022-23109

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins HashiCorp Vault, versões 3.7.0 e anteriores

Descrição

O problema diz respeito ao plugin Jenkins HashiCorp Vault, no qual as credenciais do Vault não são ocultadas nos registros de compilação do Pipeline nem nas descrições das etapas do Pipeline quando o plugin Pipeline: Groovy 2.85 ou posterior está instalado. Isso pode potencialmente expor informações confidenciais.

Recomendações

Para o plugin Jenkins HashiCorp Vault nas versões 3.7.0 e anteriores, atualize para uma versão posterior à 3.7.0 para garantir que as credenciais do Vault sejam devidamente mascaradas nos logs de compilação do Pipeline e nas descrições das etapas.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2022-23109

GHSA-H6X7-JQ46-FP33

Produtos afetados

Jenkins

Jenkins Hashicorp Vault Plugin

Referências · 10

• https://github.com/jenkinsci/hashicorp-vault-plugin/commit/c7ad9779320bd8640d83790a985ebab240249b13 · Nota
• https://github.com/jenkinsci/hashicorp-vault-plugin · Nota
• https://osv.dev/vulnerability/GHSA-h6x7-jq46-fp33 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-23109 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-01-12/#SECURITY-2213 · Aviso do Fabricante
• https://t.me/cvenotify/25611 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-23109 · Nota de Segurança
• https://t.me/cibsecurity/35358 · Publicação no Telegram
• https://t.me/cvenotify/25352 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/01/12/6 · Nota