PT-2022-24513 · Jenkins · Jenkins Git Plugin+1

Peter Darton + 1 · Publicado 2022-08-23 · Atualizado 2023-11-02 · CVE-2022-38663

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Git, versões 4.11.4 e anteriores

Descrição

O problema diz respeito ao mascaramento inadequado de credenciais no log de compilação. Especificamente, a ligação de credenciais de nome de usuário e senha do Git (gitUsernamePassword) não substitui corretamente as credenciais por asteriscos. Isso poderia expor informações confidenciais.

Recomendações

Para as versões 4.11.4 e anteriores do Jenkins Git Plugin, atualize para uma versão que mascare adequadamente as credenciais no log de compilação.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2022-38663

GHSA-JXMW-3GXF-FPRH

Produtos afetados

Jenkins

Jenkins Git Plugin

Referências · 8

• https://github.com/jenkinsci/git-plugin · Nota
• https://github.com/jenkinsci/git-plugin/commit/3241db9cc696711c871d4e78b3c3c0daad0740c3 · Nota
• https://osv.dev/vulnerability/CVE-2022-38663 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-08-23/#SECURITY-2796 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/08/23/2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-38663 · Nota de Segurança
• https://t.me/cibsecurity/48611 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-jxmw-3gxf-fprh · Aviso do Fabricante