CVE-2020-2095

Plugin Jenkins Redgate SQL Change Automation, versões 2.0.4 e anteriores

O problema diz respeito ao armazenamento de uma chave API de forma não criptografada nos arquivos job config.xml no Jenkins master. Isso permite que usuários com permissão de leitura estendida ou acesso ao sistema de arquivos do master visualizem a chave. O problema decorre de uma correção incompleta de uma vulnerabilidade de segurança anterior. Estima-se que isso possa afetar um número significativo de dispositivos, mas o número exato não foi especificado. Não há informações disponíveis sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Para as versões 2.0.4 e anteriores, atualize para a versão 2.0.5 ou posterior, que armazena a chave API criptografada. Além disso, para tarefas existentes, salve sua configuração para sobrescrever as senhas em texto simples existentes. Como solução alternativa temporária, considere restringir o acesso ao sistema de arquivos do Jenkins master e limitar as permissões de Leitura Estendida para minimizar o risco de exploração.