PT-2020-15527 · Jenkins · Jenkins Sms Notification Plugin+1
CVSS v3.1
3.3
Baixa
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin de notificação por SMS do Jenkins, versões 1.2 e anteriores
Descrição
O problema diz respeito ao armazenamento de um token de acesso de forma não criptografada no arquivo de configuração global do controlador do Jenkins. Especificamente, o arquivo
com.hoiio.jenkins.plugin.SMSNotification.xml contém esse token de acesso não criptografado como parte de sua configuração. Usuários com acesso ao sistema de arquivos do controlador do Jenkins podem visualizar esse token de acesso.Recomendações
Para as versões 1.2 e anteriores do plugin de notificação por SMS do Jenkins, considere restringir o acesso ao sistema de arquivos do controlador do Jenkins para minimizar o risco de o token de acesso ser visualizado por usuários não autorizados.
Como solução temporária, restrinja o acesso ao arquivo
com.hoiio.jenkins.plugin.SMSNotification.xml até que um método mais seguro de armazenamento do token de acesso seja implementado.Correção
Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Sms Notification Plugin