CVE-2021-21643

Plugin Jenkins Config File Provider, versões 3.7.0 e anteriores

O problema diz respeito a verificações incorretas de permissão em vários pontos de extremidade HTTP, permitindo que invasores com permissão global de Job/Configure enumerem IDs de credenciais no âmbito do sistema, armazenadas no Jenkins. Isso pode ser usado como parte de um ataque para capturar as credenciais utilizando outra vulnerabilidade.

Para o plugin Jenkins Config File Provider nas versões 3.7.0 e anteriores, atualize para uma versão posterior à 3.7.0 para resolver o problema. Como solução temporária, considere restringir o acesso aos pontos de extremidade HTTP afetados para minimizar o risco de exploração. Além disso, certifique-se de que a permissão global de Job/Configure seja concedida apenas a usuários confiáveis.