Password stored in a recoverable format by Jenkins OpenId Connect Authentication Plugin

中 6.7CVE-2023-50770 · GHSA-6r5w-jjr5-qvgr · 13/12/2023 公開 · 17/06/2026 更新

要点

CVE-2023-50770 は org.jenkins-ci.plugins:oic-auth, openid (jenkins) に影響する深刻度「中」 (CVSS 6.7) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.29%（全脆弱性の 21.2% より高い）。
対処：4.229.vf736b 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:oic-auth Maven	`< 4.229.vf736b`	`4.229.vf736b`
openid jenkins	`≤ 2.6`	修正版なし

概要

Jenkins OpenId Connect Authentication Plugin stores a password of a local user account used as an anti-lockout feature in a recoverable format, allowing attackers with access to the Jenkins controller file system to recover the plain text password of that account, likely gaining administrator access to Jenkins.

NVD の説明

Jenkins OpenId Connect Authentication Plugin 2.6 and earlier stores a password of a local user account used as an anti-lockout feature in a recoverable format, allowing attackers with access to the Jenkins controller file system to recover the plain text password of that account, likely gaining administrator access to Jenkins.