PT-2022-26898 · Jenkins · Jenkins Job Import Plugin+1
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin de importação de tarefas do Jenkins, versões 3.5 e anteriores
Descrição
A vulnerabilidade permite que invasores com permissão “Geral/Leitura” enumerem os IDs das credenciais armazenadas no Jenkins devido à falta de verificação de permissão em um endpoint HTTP. Na versão 3.6 do plugin de importação de tarefas, a enumeração dos IDs das credenciais requer a permissão “Importação de tarefas/Importar tarefas”.
Recomendações
Para as versões 3.5 e anteriores do Jenkins Job Import Plugin, considere atualizar para a versão 3.6 ou posterior, na qual a enumeração de IDs de credenciais requer permissão de Importação de tarefas/Importar tarefas, a fim de mitigar o risco de enumeração de IDs de credenciais.
Como solução alternativa temporária, considere restringir o acesso ao endpoint HTTP para minimizar o risco de exploração.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Job Import Plugin