Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

github логотип

GHSA-hj7p-h74j-6gxj

Опубликовано: 06 сент. 2023
Источник: github
Github: Прошло ревью
CVSS3: 7.5

Описание

Non-constant time nonce comparison in Jenkins Microsoft Entra ID (previously Azure AD) Plugin

Jenkins Azure AD Plugin 396.v86ce29279947 and earlier, except 378.380.v545b_1154b_3fb_, uses a non-constant time comparison function when checking whether the provided and expected CSRF protection nonce are equal, potentially allowing attackers to use statistical methods to obtain a valid nonce.

Пакеты

Наименование

org.jenkins-ci.plugins:azure-ad

maven
Затронутые версииВерсия исправления

>= 378.380.v545b, <= 396.v86ce29279947

397.v907382dd9b

Наименование

org.jenkins-ci.plugins:azure-ad

maven
Затронутые версииВерсия исправления

< 378.vd6e2874a

378.vd6e2874a

EPSS

Процентиль: 27%
0.00098
Низкий

7.5 High

CVSS3

Дефекты

CWE-697

Связанные уязвимости

CVSS3: 7.5
nvd
больше 2 лет назад

Jenkins Azure AD Plugin 396.v86ce29279947 and earlier, except 378.380.v545b_1154b_3fb_, uses a non-constant time comparison function when checking whether the provided and expected CSRF protection nonce are equal, potentially allowing attackers to use statistical methods to obtain a valid nonce.

EPSS

Процентиль: 27%
0.00098
Низкий

7.5 High

CVSS3

Дефекты

CWE-697