CVE-2023-37943
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Active Directory dla Jenkins w wersji 2.30 i wcześniejszych ignoruje opcje 'Wymagaj TLS' oraz 'StartTls', co skutkuje zawsze niezaszyfrowanym testem połączenia z serwerami Active Directory.
Ocena ryzyka
Atakujący mogą przechwycić ruch sieciowy między kontrolerem Jenkins a serwerami Active Directory, co pozwala na uzyskanie poświadczeń Active Directory.
Rekomendacja
Zaleca się aktualizację wtyczki Active Directory do najnowszej wersji, aby zapewnić odpowiednie szyfrowanie połączeń.
Oryginalny opis (angielski, źródło NVD)
Jenkins Active Directory Plugin 2.30 and earlier ignores the "Require TLS" and "StartTls" options and always performs the connection test to Active directory unencrypted, allowing attackers able to capture network traffic between the Jenkins controller and Active Directory servers to obtain Active Directory credentials.