PT-2022-19383 · Jenkins · Jenkins Mask Passwords Plugin+1
CVE-2022-29043
·
Publicado
2022-04-12
·
Atualizado
2023-11-17
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Mask Passwords, versões 3.0 e anteriores
Descrição
A falha resulta em uma vulnerabilidade de script entre sites (XSS) armazenada, que pode ser explorada por invasores com permissão de Item/Configurar. Isso ocorre porque o plugin não escapa o nome e a descrição dos parâmetros de senha não armazenada nas visualizações que exibem parâmetros. A exploração requer que os parâmetros estejam listados em outra página e que essas páginas não estejam protegidas para impedir a exploração. Observa-se que o Jenkins (core) tem impedido a exploração de vulnerabilidades desse tipo em determinadas páginas desde a versão 2.44 e LTS 2.32.2.
Recomendações
Para as versões 3.0 e anteriores do plugin Jenkins Mask Passwords, atualize para uma versão posterior à 3.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às visualizações que exibem parâmetros para minimizar o risco de exploração. Além disso, certifique-se de que páginas como “Build With Parameters” e “Parameters”, fornecidas pelo Jenkins (core), estejam protegidas para impedir a exploração, ou atualize o Jenkins (core) para a versão 2.44 ou LTS 2.32.2 ou posterior.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Mask Passwords Plugin