PT-2022-17120 · Jenkins · Jenkins Pipeline: Groovy Plugin+1

James Nord · Publicado 2022-02-15 · Atualizado 2023-11-30 · CVE-2022-25180

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Jenkins Pipeline: Plugin Groovy, versões 2648.va9433432b33c e anteriores

Descrição

A vulnerabilidade permite que invasores com permissão de Execução/Repetição obtenham os valores dos parâmetros de senha passados para compilações anteriores de um Pipeline, uma vez que os parâmetros de senha da compilação original são incluídos nas compilações repetidas.

Recomendações

Para as versões 2648.va9433432b33c e anteriores, atualize para uma versão que não permita que compilações contendo parâmetros de senha sejam reproduzidas, como o Pipeline: Groovy Plugin 2656.vf7a e7b 75a 457.

Como solução alternativa temporária, considere restringir a permissão Executar/Reproduzir para minimizar o risco de exploração.

Correção

Insufficiently Protected Credentials

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-522

CWE-319

Identificadores relacionados

CVE-2022-25180

GHSA-QV6Q-X9VR-W7J3

RHSA-2022:0871

RHSA-2022:1021

RHSA-2022:1025

RHSA-2022:1248

RHSA-2022:1420

RHSA-2022:1620

Produtos afetados

Jenkins

Jenkins Pipeline: Groovy Plugin

Referências · 8

• https://github.com/jenkinsci/workflow-cps-plugin/commit/886676efdd711e126307ec70a539f2fe613151f9 · Nota
• https://osv.dev/vulnerability/GHSA-qv6q-x9vr-w7j3 · Aviso do Fabricante
• https://t.me/cvenotify/27259 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-25180 · Nota de Segurança
• https://jenkins.io/security/advisory/2022-02-15/#SECURITY-2443 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-25180 · Aviso do Fabricante
• https://t.me/cvenotify/26828 · Publicação no Telegram
• https://t.me/cvenotify/61761 · Publicação no Telegram