PT-2022-22068 · Jenkins · Jenkins Convertigo Mobile Platform Plugin+1

Long Nguyen · Publicado 2022-06-22 · Atualizado 2023-11-03 · CVE-2022-34199

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Convertigo Mobile Platform, versões 1.1 e anteriores

Descrição

A vulnerabilidade permite que senhas sejam armazenadas sem criptografia nos arquivos config.xml das tarefas no controlador do Jenkins. Essas senhas podem ser visualizadas por usuários com permissão de leitura estendida ou por aqueles que tenham acesso ao sistema de arquivos do controlador do Jenkins.

Recomendações

Para o plugin Jenkins Convertigo Mobile Platform nas versões 1.1 e anteriores, atualize para uma versão que criptografe adequadamente as senhas nos arquivos config.xml das tarefas, a fim de impedir o acesso não autorizado.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

CWE-256

Identificadores relacionados

CVE-2022-34199

GHSA-C8MF-MC3F-2WVC

Produtos afetados

Jenkins

Jenkins Convertigo Mobile Platform Plugin

Referências · 6

• https://github.com/jenkinsci/convertigo-mobile-platform-plugin · Nota
• https://jenkins.io/security/advisory/2022-06-22/#SECURITY-2064 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-34199 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c8mf-mc3f-2wvc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34199 · Nota de Segurança
• https://t.me/cibsecurity/44989 · Publicação no Telegram