PT-2022-17126 · Hashicorp+1 · Jenkins Hashicorp Vault Plugin+1

Daniel Beck · CVE-2022-25186 · Publicado 2022-02-15 · Atualizado 2023-11-15

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins HashiCorp Vault, versões 3.8.0 e anteriores

Descrição

A vulnerabilidade permite que os processos do agente recuperem quaisquer segredos do Vault para uso no próprio agente. Invasores capazes de controlar os processos do agente podem obter segredos do Vault para um caminho e uma chave especificados por eles.

Recomendações

Para as versões 3.8.0 e anteriores do Jenkins HashiCorp Vault Plugin, considere restringir o acesso aos segredos do Vault para minimizar o risco de exploração até que uma correção esteja disponível. Como solução alternativa temporária, limite a funcionalidade que permite que os processos do agente recuperem segredos do Vault.

Correção

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-693

Identificadores relacionados

CVE-2022-25186

GHSA-FM6Q-97GW-C4WH

Produtos afetados

Jenkins

Jenkins Hashicorp Vault Plugin

Referências · 7

• https://github.com/jenkinsci/hashicorp-vault-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-25186 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-fm6q-97gw-c4wh · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-02-15/#SECURITY-2429 · Aviso do Fabricante
• https://t.me/cvenotify/26822 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-25186 · Aviso do Fabricante
• https://t.me/cvenotify/27240 · Publicação no Telegram