PT-2022-18304 · Jenkins · Jenkins Dbcharts Plugin+1
S0Nnguy3N
+1
·
Publicado
2022-03-15
·
Atualizado
2023-12-22
·
CVE-2022-27216
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin dbCharts do Jenkins, versões 0.5.2 e anteriores
Descrição
O problema diz respeito ao armazenamento de senhas de conexão JDBC no arquivo de configuração global no controlador do Jenkins. Essas senhas são armazenadas sem criptografia e podem ser visualizadas por usuários com acesso ao sistema de arquivos do controlador do Jenkins. O arquivo de configuração em questão é
hudson.plugins.dbcharts.DbChartPublisher.xml. Isso representa um risco, pois usuários com acesso ao sistema de arquivos podem obter as senhas.Recomendações
Para as versões 0.5.2 e anteriores do plugin Jenkins dbCharts, considere restringir o acesso ao sistema de arquivos do controlador Jenkins para minimizar o risco de exposição das senhas até que uma correção esteja disponível. Como solução alternativa temporária, limite o acesso dos usuários ao arquivo
hudson.plugins.dbcharts.DbChartPublisher.xml para impedir a visualização não autorizada das senhas de conexão JDBC não criptografadas.Correção
Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Dbcharts Plugin