詹金斯插件多个漏洞(2022-04-12)

高Nessus插件ID 161440

语言:

剧情简介

一个远程web服务器主机上运行的应用程序由多个漏洞的影响

描述

根据他们的自我报告的版本号,詹金斯插件的版本运行在远程web服务器詹金斯CVS插件2.19.1之前,凭证插件在1112年之前。,346年扩展插件选择参数。或更早,Gerrit引发插件2.35.3之前,Git插件参数0.9.16之前,谷歌计算引擎插件4.3.9之前,Jira插件3.7.1之前,工作发电机插件1.22或更早,面具密码插件在3.1之前,节点和标签参数插件1.10.3.1之前,Groovy管道:共享库插件在566年之前。、发布/ FTP插件在1.17之前,Subversion插件2.15.4之前,推动构建插件在876年之前. .因此,他们是受多个漏洞:

-詹金斯凭证1111插件。v35a_307992395早些时候,除了1087.1089。v2f1b_9a_b_040e4, 1074.1076。v39c30cecb_0e2 2.6.1.1,不逃避凭证的名称和描述参数视图上显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29036)

——346年詹金斯扩展插件选择参数。vd87693c5a_86c早些时候,不逃避扩展选择参数的名称和描述视图显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29038)

-詹金斯Gerrit引发插件2.35.2早些时候,不逃避Base64编码的字符串参数的名称和描述视图上显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29039)

参数-詹金斯Git插件0.9.15早些时候,不逃避Git的名称和描述参数视图上显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29040)

3.7 -詹金斯Jira插件,早些时候,除了3.6.1,不逃避Jira的名称和描述问题,Jira发布版本参数对视图显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29041)

-詹金斯工作发电机1.22和更早的插件不逃避发电机参数的名称和描述和发电机参数对工作选择发电机乔布斯建立与参数的观点,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。
(cve - 2022 - 29042)

-詹金斯面具3.0和更早的密码插件不逃避店铺的名称和描述密码参数视图上显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29043)

-詹金斯节点和标签参数插件1.10.3早些时候,不逃避节点的名称和描述和标签参数对视图显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29044)

-詹金斯提升构建插件873。v6149db_d64130早些时候,除了3.10.1,不逃避提拔的名称和描述构建参数对视图显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29045)

-詹金斯Subversion插件2.15.3早些时候,不逃避Subversion标签列表的名称和描述(以及更多)参数对视图显示参数,导致存储跨站点脚本(XSS)漏洞被攻击者利用项目/配置许可。(cve - 2022 - 29046)

564年Groovy -詹金斯管道:共享库插件。ve62a_4eb_b_e039早些时候,除了2.21.3,允许攻击者能够提交拉请求(或同等),但不可以直接提交到配置的SCM,有效改变管道的行为通过改变动态检索库的定义在他们的请求,即使管道配置为不相信他们。(cve - 2022 - 29047)

——跨站点请求伪造(CSRF)早些时候在詹金斯Subversion插件2.15.3和漏洞允许攻击者连接到一个attacker-specified URL。(cve - 2022 - 29048)

-詹金斯提升构建插件873。v6149db_d64130早些时候,除了3.10.1并不验证促销工作中定义DSL的名字,允许攻击者在工作/配置允许创建一个促进与不安全的名字。(cve - 2022 - 29049)

——跨站点请求伪造(CSRF)的弱点在詹金斯发布1.16和更早的FTP插件允许攻击者使用attacker-specified凭据连接到FTP服务器。(cve - 2022 - 29050)

——失踪在詹金斯发布权限检查FTP 1.16和更早的插件允许攻击者与整体/读权限使用attacker-specified凭据连接到FTP服务器。(cve - 2022 - 29051)

-詹金斯谷歌计算引擎插件为4.3.8私钥加密存储在早些时候,云代理配置。xml文件詹金斯控制器上他们可以被用户扩展阅读许可,或访问詹金斯控制器文件系统。(cve - 2022 - 29052)

注意Nessus没有检测这些问题但却只依赖于应用程序的自我报告的版本号。

解决方案

促进了构建插件升级到876版本。或晚,Subversion插件2.15.4或更高版本,发布在FTP插件版本1.17或更高版本,Groovy管道:共享库插件版本566。或之后,节点和标签参数插件1.10.3.1或更高版本,密码屏蔽插件版本3.1或更高版本,Jira 3.7.1或更高版本的插件,谷歌计算引擎插件4.3.9或更高版本,Git插件参数0.9.16或更高版本,Gerrit引发插件2.35.3或更高版本,凭证插件版本1112。或晚,CVS插件2.19.1或更高版本

另请参阅

https://jenkins.io/security/advisory/2022-04-12

插件的细节

严重程度:高

ID:161440年

文件名称:jenkins_security_advisory_2022-04-12_plugins.nasl

版本:1.3

类型:结合

代理:窗户,macosx,unix

家庭:CGI滥用

发表:5/23/2022

更新:7/28/2023

支持传感器:Nessus代理

风险信息

冲程体积

风险因素:媒介

分数:5.9

CVSS v2

风险因素:媒介

基础分数:6.8

时间分数:5

向量:CVSS2 # AV: N /交流:M /非盟:N / C: P / I: P / A: P

CVSS分数来源:cve - 2022 - 29048

CVSS v3

风险因素:高

基础分数:8.8

时间分数:7.7

向量:CVSS: 3.0 / AV: N /交流:L /公关:N / UI: R / S: U / C: H /我:H: H

时间向量:CVSS: 3.0 / E: U / RL: O / RC: C

漏洞信息

CPE:cpe /: cloudbees:詹金斯,詹金斯cpe /::詹金斯

需要KB物品:installed_sw /詹金斯

利用缓解:没有任何已知的利用是可用的

补丁发布日期:4/12/2022

脆弱性出版日期:4/12/2022

参考信息

CVE:cve - 2022 - 29036,cve - 2022 - 29037,cve - 2022 - 29038,cve - 2022 - 29039,cve - 2022 - 29040,cve - 2022 - 29041,cve - 2022 - 29042,cve - 2022 - 29043,cve - 2022 - 29044,cve - 2022 - 29045,cve - 2022 - 29046,cve - 2022 - 29047,cve - 2022 - 29048,cve - 2022 - 29049,cve - 2022 - 29050,cve - 2022 - 29051,cve - 2022 - 29052