PT-2022-22358 · Jenkins · Jenkins Jigomerge Plugin+1

Long Nguyen · Publicado 2022-06-30 · Atualizado 2023-11-22 · CVE-2022-34806

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Jigomerge, versões 0.9 e anteriores

Descrição

A vulnerabilidade permite que senhas sejam armazenadas sem criptografia nos arquivos config.xml das tarefas no controlador do Jenkins. Usuários com permissão de leitura estendida ou acesso ao sistema de arquivos do controlador do Jenkins podem visualizar essas senhas.

Recomendações

Para as versões 0.9 e anteriores do plugin Jenkins Jigomerge, considere restringir o acesso ao sistema de arquivos do controlador Jenkins e limitar a permissão de leitura estendida para minimizar o risco de exposição de senhas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

CWE-256

Identificadores relacionados

CVE-2022-34806

GHSA-H5G3-V72X-HC6F

Produtos afetados

Jenkins

Jenkins Jigomerge Plugin

Referências · 5

• https://github.com/jenkinsci/jigomerge-plugin · Nota
• https://osv.dev/vulnerability/CVE-2022-34806 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34806 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-h5g3-v72x-hc6f · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-06-30/#SECURITY-2083 · Aviso do Fabricante