AWS CodeDeploy Plugin stored AWS Secret Key in plain text

高 7.8CVE-2018-1000403 · GHSA-h66p-m766-33fv · 09/07/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1000403 は com.amazonaws:codedeploy, aws codedeploy (jenkins) に影響する深刻度「高」 (CVSS 7.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.34%（全脆弱性の 27.4% より高い）。
対処：1.20 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.amazonaws:codedeploy Maven	`< 1.20`	`1.20`
aws codedeploy jenkins	`≤ 1.19`	修正版なし

概要

Jenkins project Jenkins AWS CodeDeploy Plugin version 1.19 and earlier contains a Insufficiently Protected Credentials vulnerability in AWSCodeDeployPublisher.java that can result in Credentials Disclosure. This attack appears to be exploitable via local file access.

AWS CodeDeploy Plugin 1.20 and newer stores the AWS Secret Key encrypted in the configuration files on disk and no longer transfers it to users viewing the configuration form in plain text. Existing jobs need to have their configuration saved for existing plain text secret keys to be overwritten.

NVD の説明