CVE-2023-37943
mediumPriorität · verfolgen · 24OT-Risiko · erhöhtEPSS 0.005 · 40. PerzentilDEEUUSEPSS · bewertet 2026-10-27
Jenkins Active Directory Plugin 2.30 and earlier ignores the "Require TLS" and "StartTls" options and always performs the connection test to Active directory unencrypted, allowing attackers able to capture network traffic between the Jenkins controller and Active Directory servers to obtain Active Directory credentials.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (5)
Betroffene Produkte und Versionsbereiche.
- Maven org.jenkins-ci.plugins:active-directory< 2.30.1osvUSpkg:maven/org.jenkins-ci.plugins/active-directory
Advisories (2)
Hersteller- und Ökosystem-Meldungen dazu.
- WID-SEC-W-2023-1743Jenkins Plugins: Mehrere SchwachstellenDeutsch2023-07-12csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Jenkins Plugins ausnutzen, um Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen und Daten zu manipulieren.
- GHSA-g8c3-6fj2-87w7Jenkins Active Directory Plugin vulnerable to Active Directory credential disclosure2023-07-12ghsa · osvUS
Jenkins Active Directory Plugin allows testing a new, unsaved configuration by performing a connection test (the button labeled "Test Domain"). Active Directory Plugin 2.30 and earlier ignores the "Require TLS" and "StartTls" options and always performs the connection test to Active directory unencrypted. This allows attackers able to capture network traffic between the Jenkins controller and Active Directory servers to obtain Active Directory credentials. This only affects the connection test. Connections established during the login process are encrypted if the corresponding TLS option is enabled. Active Directory Plugin 2.30.1 considers the "Require TLS" and "StartTls" options for connection tests.
auch bekannt als (3)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (7)
Externe Belege — Patches, Meldungen, Analysen.
- http://www.openwall.com/lists/oss-security/2023/07/12/2cnnvd
- https://cxsecurity.com/cveshow/CVE-2023-37943/cnnvd
- https://www.jenkins.io/security/advisory/2023-07-12/#SECURITY-3059cnnvd
- http://www.openwall.com/lists/oss-security/2023/07/12/2enisa_euvd
- https://www.jenkins.io/security/advisory/2023-07-12/#SECURITY-3059enisa_euvd
- http://www.openwall.com/lists/oss-security/2023/07/12/2Mailing ListThird Party Advisorynvd
- https://www.jenkins.io/security/advisory/2023-07-12/#SECURITY-3059Vendor Advisorynvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan