CVE-2022-36896

Download do código-fonte do Jenkins Compuware para os plug-ins Endevor, PDS e ISPW, versões 2.0.12 e anteriores

A ausência de uma verificação de permissão no plugin permite que invasores com permissão Geral/Leitura enumerem hosts e portas das configurações do Compuware, bem como IDs de credenciais armazenadas no Jenkins. Isso poderia ser potencialmente usado como parte de um ataque para capturar as credenciais utilizando outra vulnerabilidade. O problema está relacionado a procedimentos de autorização insuficientes, o que pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas.

Para as versões 2.0.12 e anteriores, atualize para a versão 2.0.13 ou posterior, que exige as permissões adequadas para enumerar hosts e portas das configurações do Compuware e IDs de credenciais. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade HTTP do plugin para minimizar o risco de exploração.