CVE-2023-37944
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce Datadog dla Jenkins w wersji 5.4.1 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z URL określonym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych poświadczeń, co może prowadzić do dalszych ataków na systemy organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki Datadog do najnowszej wersji oraz przegląd uprawnień użytkowników w Jenkins, aby ograniczyć dostęp do krytycznych funkcji.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Datadog Plugin 5.4.1 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.