CVE-2017-1000245
Publiée le 2017-11-01 · Dernière modification le 2026-06-17
Les serveurs Jenkins utilisant le plugin SSH stockent les mots de passe des serveurs distants et les phrases de passe des clés SSH en texte clair dans un fichier de configuration. Un attaquant ayant un accès réseau au serveur Jenkins peut voler ces identifiants pour obtenir un contrôle administratif total sur tous les systèmes distants auxquels ces identifiants donnent accès. Cette exploitation est simple à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The SSH Plugin stores credentials which allow jobs to access remote servers via the SSH protocol. User passwords and passphrases for encrypted SSH keys are stored in plaintext in a configuration file.