PT-2022-22348 · Jenkins · Jenkins Deployment Dashboard Plugin+1

·

CVE-2022-34796

·

Publicado

2022-06-30

·

Atualizado

2023-11-22

CVSS v3.1

4.3

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Nome do software vulnerável e versões afetadas
Plugin Jenkins Deployment Dashboard, versões 1.0.10 e anteriores
Descrição
A ausência de uma verificação de permissão no plugin permite que invasores com permissão “Overall/Read” enumerem os IDs das credenciais armazenadas no Jenkins. Esse problema afeta vários pontos de extremidade HTTP, que não realizam verificações de permissão. Os IDs de credenciais enumerados podem ser usados como parte de um ataque para capturar as credenciais utilizando outra vulnerabilidade.
Recomendações
Para o plugin Jenkins Deployment Dashboard nas versões 1.0.10 e anteriores, como solução temporária, considere restringir o acesso aos pontos de extremidade HTTP afetados até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authorization

Insufficiently Protected Credentials

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2022-34796
GHSA-5MXG-P5QH-2GCH

Produtos afetados

Jenkins
Jenkins Deployment Dashboard Plugin