PT-2022-18833 · Jenkins · Jenkins Instant-Messaging Plugin+1

S0Nnguy3N + 1 · Publicado 2022-03-29 · Atualizado 2023-12-21 · CVE-2022-28135

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin de mensagens instantâneas do Jenkins, versões 1.41 e anteriores

Descrição

A vulnerabilidade permite que senhas de chats em grupo sejam armazenadas sem criptografia no arquivo de configuração global dos plugins baseados no plugin de mensagens instantâneas do Jenkins no controlador do Jenkins. Essas senhas podem ser visualizadas por usuários com acesso ao sistema de arquivos do controlador do Jenkins.

Recomendações

Para as versões 1.41 e anteriores, atualize para uma versão que corrija o problema, a fim de impedir o armazenamento não criptografado de senhas de bate-papos em grupo. Como solução alternativa temporária, considere restringir o acesso ao sistema de arquivos do controlador Jenkins para minimizar o risco de exposição das senhas.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

CWE-256

Identificadores relacionados

CVE-2022-28135

GHSA-HPM9-FX8V-W45V

Produtos afetados

Jenkins

Jenkins Instant-Messaging Plugin

Referências · 9

• https://github.com/jenkinsci/instant-messaging-plugin · Nota
• https://t.me/cvenotify/64772 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-28135 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hpm9-fx8v-w45v · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-03-29/#SECURITY-2161 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-28135 · Nota de Segurança
• https://t.me/cvenotify/28413 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/03/29/1 · Nota
• https://t.me/cibsecurity/39731 · Publicação no Telegram