CVE-2023-40343
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka uwierzytelniania Tuleap dla Jenkins w wersji 1.1.20 i wcześniejszych wykorzystuje funkcję porównania, która nie działa w stałym czasie podczas walidacji tokena uwierzytelniającego. To umożliwia atakującym zastosowanie metod statystycznych do uzyskania ważnego tokena uwierzytelniającego.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do systemu, co może prowadzić do nieautoryzowanego dostępu do danych i zasobów organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki Tuleap do najnowszej wersji, aby wyeliminować tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających w celu ochrony przed atakami opartymi na statystyce.
Oryginalny opis (angielski, źródło NVD)
Jenkins Tuleap Authentication Plugin 1.1.20 and earlier uses a non-constant time comparison function when validating an authentication token allowing attackers to use statistical methods to obtain a valid authentication token.