PT-2022-27492 · Jenkins · Jenkins Loader.Io Plugin+1

Kevin Guerroudj · Publicado 2022-11-15 · Atualizado 2023-11-01 · CVE-2022-45390

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins loader.io, versões 1.0.1 e anteriores

Descrição

A ausência de uma verificação de permissão no plugin Jenkins loader.io permite que invasores com permissão “Overall/Read” enumerem os IDs das credenciais armazenadas no Jenkins. Isso pode ser usado como parte de um ataque para capturar as credenciais por meio de outra vulnerabilidade. O problema está relacionado a um endpoint HTTP que não realiza uma verificação de permissão.

Recomendações

Para as versões 1.0.1 e anteriores do plugin Jenkins loader.io, como solução temporária, considere restringir o acesso ao endpoint HTTP até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-45390

GHSA-WG2F-9RF7-48GM

Produtos afetados

Jenkins

Jenkins Loader.Io Plugin

Referências · 9

• https://github.com/jenkinsci/loaderio-plugin · Nota
• https://t.me/cibsecurity/52988 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-45390 · Nota de Segurança
• https://t.me/cvenotify/38023 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-45390 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-11-15/#SECURITY-2857 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-wg2f-9rf7-48gm · Aviso do Fabricante
• https://t.me/cvenotify/37784 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2022/11/15/4 · Nota