PT-2022-25771 · Jenkins · Jenkins Cons3Rt Plugin+1

Kevin Guerroudj + 1 · Publicado 2022-09-21 · Atualizado 2025-05-28 · CVE-2022-41255

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins CONS3RT, versões 1.0.0 e anteriores

Descrição

A vulnerabilidade permite que usuários com acesso ao sistema de arquivos do controlador do Jenkins visualizem o token da API do Cons3rt, que é armazenado sem criptografia nos arquivos config.xml das tarefas no controlador do Jenkins. Esse token faz parte da configuração do plugin.

Recomendações

Para as versões 1.0.0 e anteriores do plugin Jenkins CONS3RT, considere restringir o acesso ao sistema de arquivos do controlador Jenkins para minimizar o risco de o token da API Cons3rt ser visualizado por usuários não autorizados.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

CWE-256

Identificadores relacionados

CVE-2022-41255

GHSA-FMQ9-R4P2-8272

Produtos afetados

Jenkins

Jenkins Cons3Rt Plugin

Referências · 7

• https://github.com/jenkinsci/cons3rt-plugin · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-41255 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-fmq9-r4p2-8272 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/09/21/5 · Nota
• https://jenkins.io/security/advisory/2022-09-21/#SECURITY-2759 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-41255 · Aviso do Fabricante
• https://t.me/cvenotify/123836 · Publicação no Telegram