检测
分析学
Jenkins插件多重易变性 (2022-03-29)
高位奈苏斯插件ID 159377
语言 :
简表
远程网络服务器主机运行程序受多重漏洞影响描述性
Jenkins自报版数显示,远程网络服务器上运行插件版本为Jenkins Bitbucket服务器插件3.2.0前持续整合toad边缘插件2.4前持续整合Toadide插件0.5前持续整合TopleChat因此,他们受多重脆弱性影响:Jenkins Bitbucket服务器整合插件3.1.0和前例不限制回调OAUS用户URL方法,结果存储跨站脚本易失用性供攻击者使用并创建BitBucket服务器客户(CVE-2022-28133)
Jenkins Bitbucket服务器整合插件3.1.0和前文不执行HTTP端点许可检查,允许Corder/Read权限攻击者创建、查看并删除BitBucket服务器客户(CVE-2022-28134)
Jenkins即时消息插件全球配置文档中未加密群发密码1.41和早期存储密码 Jenkins控制器中即时消息插件可供访问Jenkins控制器用户查看(CVE-2022-28135)
Jenkins JiraTesterResultReporter插件165.v817928553942(CVE-2022-28136)
Jenkins JiraTestResutReporter插件165.v817928553942缺失权限检验(CVE-2022-28137)
JenkinsRockChat通知插件1.4.10中的跨站请求仿真允许攻击者使用攻击者指定证书连接攻击者指定的URL
(CVE-2022-28138)
JenkinsRockChat通知插件1.4.10缺失许可检查
(CVE-2022-28139)
Jenkins Flaky测试处理器插件1.2.1和前置不配置 XML解析器以防止 XML外部实体攻击(CVE-2022-28140)
Jenkinsprexmox插件0.5.0和前期存储prxmox数据中心密码(CVE-2022-28141)
Jenkinsprexmox插件0.6.0和前置SSL/TLS证书认证全局Jenkins控制器JVM配置忽略SSL/TLS问题(CVE-2022-28142)
Jenkinsprexmox插件0.7.0和更早允许攻击者使用攻击者指定用户名和密码连接攻击者指定主机
(CVE-2022-28143)
Jenkinsprexmox插件0.7.0和前面不执行HTTP多端点许可检查,允许CVE2022-28142使用攻击者指定用户名和密码连接攻击者指定主机(CVE-2022-28144)
Jenkins持续归并Toad边缘插件2.3和前文不应用内容安全策略头报告它所服务文件,结果产生存储跨站脚本供攻击者使用并有项目/配置许可或能控制报表内容(CVE-2022-28145)
Jenkins持续归并Toad边缘插件2.3和前面允许项目/配置权限攻击者读取Jenkins控制器上任意文件,具体用Jenkins控制器输入文件夹作为其构建步骤参数(CVE-2022-28146)
Jenkins持续整合toad边缘插件2.3和前期许可缺失允许攻击者全读权限检查Jenkins文件系统是否存在攻击者指定的文件路径(CVE-2022-28147)
Jenkins持续整合toad边缘插件2.3和前文文件浏览器可能把文件路径解释为Windows绝对值,结果路径遍历易损性允许项目/阅读权限攻击者获取Windows控制器任意文件内容
(CVE-2022-28148)
Jenkins Job和节点所有者插件0.13.0和前面并不排除二级所有者的姓名,结果存储出跨站脚本易失用性供攻击者使用并获得项目/配置许可(CVE-2022-28149)
Jenkins Job和节点所有插件0.13.0和前面允许攻击者改变所有者和项目专用权限(CVE-2022-28150)
JenkinsJob和节点控件插件0.13.0缺失许可检验(CVE-2022-28151)
Jenkins Job和节点所有插件0.13.0(CVE-2022-28152)
Jenkins网站监听器插件0.6和更早都无法逃避网站的URL检测工具提示,结果存储出跨站脚本易用性供攻击者使用并获得项目/配置许可(CVE-2022-28153)
Jenkins覆盖/复杂散射插件 1.1.1和前置不配置 XML解析器以防止 XML外部实体攻击(CVE-2022-28154)
Jenkins管道:Phoenix自动测试1.3和前段不配置 XML解析器以防止 XML外部实体攻击(CVE-2022-28155)
Jenkins管道:Phoenix自动测试插件1.3和前面允许项目/配置权限攻击者从Jenkins控制器向代理工作空间复制任意文件或目录
(CVE-2022-28156)
Jenkins管道:Phoenix自动测试插件1.3和前面允许项目/配置权限攻击者通过FTP从Jenkins控制器上传任意文件到攻击者指定的FTP服务器
(CVE-2022-28157)
Jenkins管道缺失许可检验:Phoenix自动测试插件1.3
(CVE-2022-28158)
Jenkins测试选择器1.3.3插件和前置选择参数属性文件路径选择(CVE-2022-28159)
Jenkins测试选择器1.3.3插件和前面允许项目/配置权限用户阅读Jenkins控制器任意文件(CVE-2022-28160)
注意Nessus没有测试这些问题,而是只依赖应用自报版号
求解
即时消息插件升级为1.42版或以后,RocketChat通知插件升级为1.00版或以后,Proxmox插件升级为0.7.1版或以后,JiraTestResultReporter插件升级为166版或后Flaky测试处理器插件到1.2.2版或后与Toad边缘插件持续整合到2.4版或后,Bitbucket服务器插件插件到3.2.0版或后并见
插件细节
严重性 :高位
身份证 :159377
文件名 :jenkins_security_advisory_2022-03-29_plugins.nasl
版本化 :1.6
类型 :合并式
代理 :窗口内,mcosx,unix连接
家庭问题 :CGI滥用
发布 :3/31/2022
更新 :7/28/2023
配置 :启动彻底检查
支持传感器 :内苏斯代理
风险信息
VPR
风险因子 :中度
分数 :5点9分
CVSS v2
风险因子 :中度
基础评分 :6.8
时间评分 :5
向量 :CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS评分源 :CVE2022-28150
CVSSv3
风险因子 :高位
基础评分 :8.8
时间评分 :7.7
向量 :CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
时间向量 :CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE系统 :cpe:/a:cloudbees:jenkins,cpe:/a:jenkins:jenkins
需要kb项 :installed_sw/Jenkins
开发易斯 :无已知利用
补丁发布日期 :3/29/2022
漏洞发布日期 :3/29/2022
参考信息
CVE系统 :CVE2022-28133,CVE2022-28134,CVE2022-28135,CVE2022-28136,CVE2022-28137,CVE2022-28138,CVE2022-28,CVE2022-28140,CVE2022-28141,CVE2022-28142,CVE2022-28143,CVE2022-28144,CVE2022-28145,CVE2022-28146,CVE2022-28147,CVE2022-28148,CVE2022-28149,CVE2022-28150,CVE2022-28151,CVE2022-28152,CVE2022-28,CVE2022-28154,CVE2022-28155,CVE2022-28156,CVE2022-28157,CVE2022-28158,CVE2022-28159,CVE2022-28160