PT-2022-19392 · Jenkins · Jenkins Google Compute Engine Plugin+1

Daniel Beck · CVE-2022-29052 · Publicado 2022-04-12 · Atualizado 2023-12-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins para Google Compute Engine, versões 4.3.8 e anteriores

Descrição

A vulnerabilidade permite que chaves privadas sejam armazenadas sem criptografia nos arquivos config.xml do agente na nuvem no controlador do Jenkins. Essas chaves podem ser visualizadas por usuários com permissão de leitura de agente/estendida ou por aqueles com acesso ao sistema de arquivos do controlador do Jenkins.

Recomendações

Para as versões 4.3.8 e anteriores, considere restringir o acesso ao sistema de arquivos do controlador Jenkins e limitar as permissões de Agente/Leitura Estendida para minimizar o risco de exploração. Como solução temporária, restrinja o acesso aos arquivos config.xml até que um patch esteja disponível.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2022-29052

GHSA-VHXQ-9MPV-GJ87

Produtos afetados

Jenkins

Jenkins Google Compute Engine Plugin

Referências · 9

• https://github.com/jenkinsci/google-compute-engine-plugin/commit/16d2ae71a1b34c81db1d74f83c41577536e5256f · Nota
• https://t.me/cvenotify/29236 · Publicação no Telegram
• https://t.me/cvenotify/28794 · Publicação no Telegram
• https://jenkins.io/security/advisory/2022-04-12/#SECURITY-2045 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vhxq-9mpv-gj87 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29052 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-29052 · Aviso do Fabricante
• https://t.me/cibsecurity/40693 · Publicação no Telegram
• https://t.me/cvenotify/64910 · Publicação no Telegram