PT-2022-18293 · Jenkins · Jenkins Gitlab Authentication Plugin+1

Marc Heyries + 1 · Publicado 2022-03-15 · Atualizado 2023-11-15 · CVE-2022-27206

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.0

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin de autenticação do Jenkins para GitLab, versões 1.13 e anteriores

Descrição

O problema diz respeito ao armazenamento do segredo do cliente GitLab de forma não criptografada no arquivo global config.xml do controlador do Jenkins. Isso permite que usuários com acesso ao sistema de arquivos do controlador do Jenkins visualizem o segredo do cliente.

Recomendações

Para as versões 1.13 e anteriores do Plugin de Autenticação GitLab do Jenkins, considere restringir o acesso ao sistema de arquivos do controlador do Jenkins para minimizar o risco de o segredo do cliente ser visualizado por usuários não autorizados.

Como solução temporária, considere criptografar manualmente o segredo do cliente GitLab até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Encryption of Sensitive Data

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-311

CWE-522

Identificadores relacionados

CVE-2022-27206

GHSA-HX3R-QWXV-5JW9

Produtos afetados

Jenkins

Jenkins Gitlab Authentication Plugin

Referências · 7

• https://github.com/jenkinsci/gitlab-oauth-plugin/releases/tag/gitlab-oauth-1.14 · Nota
• https://github.com/jenkinsci/gitlab-oauth-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-27206 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-27206 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-03-15/#SECURITY-1891 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hx3r-qwxv-5jw9 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/03/15/2 · Nota