Jenkins Tuleap Authentication Plugin non-constant time token comparison

中 5.9CVE-2023-40343 · GHSA-5r33-mgjf-6656 · 16/08/2023 公開 · 17/06/2026 更新

要点

CVE-2023-40343 は io.jenkins.plugins:tuleap-oauth, tuleap authentication (jenkins) に影響する深刻度「中」 (CVSS 5.9) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.59%（全脆弱性の 48.3% より高い）。
対処：1.1.21 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
io.jenkins.plugins:tuleap-oauth Maven	`< 1.1.21`	`1.1.21`
tuleap authentication jenkins	`≤ 1.1.20`	修正版なし

概要

Jenkins Tuleap Authentication Plugin 1.1.20 and earlier does not use a constant-time comparison when checking whether two authentication tokens are equal.

This could potentially allow attackers to use statistical methods to obtain a valid authentication token.

Tuleap Authentication Plugin 1.1.21 uses a constant-time comparison when validating authentication tokens.

NVD の説明

Jenkins Tuleap Authentication Plugin 1.1.20 and earlier uses a non-constant time comparison function when validating an authentication token allowing attackers to use statistical methods to obtain a valid authentication token.

参考情報

nvd.nist.gov/vuln/detail/CVE-2023-40343 · ADVISORY
jenkins.io/security/advisory/2023-08-16 · WEB
openwall.com/lists/oss-security/2023/08/16/3 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2023-40343 は io.jenkins.plugins:tuleap-oauth, tuleap authentication (jenkins) に影響する深刻度「中」 (CVSS 5.9) の脆弱性です。

今後30日間に悪用される確率（EPSS）：0.59%（全脆弱性の 48.3% より高い）。

対処：1.1.21 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

io.jenkins.plugins:tuleap-oauth

Maven

< 1.1.21

1.1.21

tuleap authentication

jenkins

≤ 1.1.20

修正版なし

概要

Jenkins Tuleap Authentication Plugin 1.1.20 and earlier does not use a constant-time comparison when checking whether two authentication tokens are equal.

This could potentially allow attackers to use statistical methods to obtain a valid authentication token.

Tuleap Authentication Plugin 1.1.21 uses a constant-time comparison when validating authentication tokens.

NVD の説明