CVE-2017-1000362
KrytyczneStreszczenie
W Jenkinsie 1.498 wprowadzono monitor re-key admin, który re-encryptował wszystkie sekrety w JENKINS_HOME nowym kluczem, tworząc jednocześnie katalog kopii zapasowych ze starymi sekretami i użytym kluczem. Te kopie zapasowe były dostępne dla wszystkich użytkowników i nie zostały usunięte po ich utworzeniu.
Ocena ryzyka
Organizacje mogą być narażone na wyciek wrażliwych informacji, jeśli nie usuną katalogu kopii zapasowych, który może być dostępny dla nieautoryzowanych użytkowników.
Rekomendacja
Zaleca się, aby administratorzy sprawdzili katalog $JENKINS_HOME/jenkins.security.RekeySecretAdminMonitor/backups i usunęli go, jeśli jest obecny.
Oryginalny opis (angielski, źródło NVD)
The re-key admin monitor was introduced in Jenkins 1.498 and re-encrypted all secrets in JENKINS_HOME with a new key. It also created a backup directory with all old secrets, and the key used to encrypt them. These backups were world-readable and not removed afterwards. Jenkins now deletes the backup directory, if present. Upgrading from before 1.498 will no longer create a backup directory. Administrators relying on file access permissions in their manually created backups are advised to check them for the directory $JENKINS_HOME/jenkins.security.RekeySecretAdminMonitor/backups, and delete it if present.