PT-2022-18306 · Jenkins · Jenkins Incapptic Connect Uploader Plugin+1

Quentin Parra · Publicado 2022-03-15 · Atualizado 2023-12-21 · CVE-2022-27218

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins incapptic connect uploader, versões 1.15 e anteriores

Descrição

A vulnerabilidade permite que tokens sejam armazenados sem criptografia nos arquivos job.config.xml no controlador do Jenkins. Esses tokens podem ser visualizados por usuários com permissão de leitura estendida ou por aqueles que tenham acesso ao sistema de arquivos do controlador do Jenkins.

Recomendações

Para o plugin Jenkins incapptic connect uploader nas versões 1.15 e anteriores, atualize para uma versão posterior à 1.15 para resolver o problema.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

CWE-256

Identificadores relacionados

CVE-2022-27218

GHSA-8G9W-5JV6-7M4X

Produtos afetados

Jenkins

Jenkins Incapptic Connect Uploader Plugin

Referências · 9

• https://github.com/jenkinsci/incapptic-connect-uploader-plugin · Nota
• https://t.me/cvenotify/54560 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-27218 · Aviso do Fabricante
• https://t.me/cibsecurity/38954 · Publicação no Telegram
• https://jenkins.io/security/advisory/2022-03-15/#SECURITY-2273 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-27218 · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/03/15/2 · Nota
• https://osv.dev/vulnerability/GHSA-8g9w-5jv6-7m4x · Aviso do Fabricante
• https://t.me/cvenotify/64771 · Publicação no Telegram