PT-2022-22352 · Jenkins · Jenkins Build Notifications Plugin+1
Long Nguyen
·
Publicado
2022-06-30
·
Atualizado
2023-11-22
·
CVE-2022-34800
CVSS v2.0
4.0
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Build Notifications, versões 1.5.0 e anteriores
Descrição
A vulnerabilidade permite que usuários com acesso ao sistema de arquivos do controlador Jenkins visualizem tokens armazenados sem criptografia nos arquivos de configuração global do plugin. Especificamente, vários tokens são armazenados sem criptografia, incluindo o token do aplicativo Pushover em
tools.devnull.jenkins.plugins.buildnotifications. PushoverNotifier.xml, o token do bot do Slack em tools.devnull.jenkins.plugins.buildnotifications.SlackNotifier.xml e o token do bot do Telegram em tools.devnull.jenkins.plugins.buildnotifications.TelegramNotifier.xml.Recomendações
Para as versões 1.5.0 e anteriores do plugin Jenkins Build Notifications, considere restringir o acesso ao sistema de arquivos do controlador do Jenkins para minimizar o risco de exposição dos tokens. Como solução temporária, restrinja o acesso aos arquivos de configuração
tools.devnull.jenkins.plugins.buildnotifications. PushoverNotifier.xml, tools.devnull.jenkins.plugins.buildnotifications.SlackNotifier.xml e tools.devnull.jenkins.plugins.buildnotifications.TelegramNotifier.xml para impedir a visualização não autorizada dos tokens. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Build Notifications Plugin