Jenkins < 2.176.2 LTS/2.186の複数の脆弱性

high Nessus プラグイン ID 127053

Language:

概要

リモートのWebサーバーでホストされているジョブスケジューリング/管理システムは、複数の脆弱性の影響を受けます。

説明

リモートWebサーバーで実行されているJenkinsのバージョンは、2.186より前か、2.176.2より前のJenkins LTSのバージョンです。そのため、以下の複数の脆弱性の影響を受けます。

-SECURITY-1074、ファイルパラメーター定義の不適切な検証の修正が不完全なため、任意のファイル書き込みの脆弱性が存在します。認証されたリモートの攻撃者がこの問題を悪用し、ベースディレクトリを回避する相対パスを持つファイル名を介してリモートホストの任意のファイルに書き込む可能性があります。
（CVE-2019-10352）

-CSRFトークンの検証が不十分なため、セキュリティバイパスの脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、別のユーザーのCSRFトークンを取得した後、CSRF保護をバイパスし、CSRF攻撃を実行する可能性があります。（CVE-2019-10353）

-Stapler webフレームワークには、ビューフラグメントのアクセス制御が不適切なため、情報漏えいの脆弱性があります。認証されたリモートの攻撃者がこれを悪用し、秘密情報を漏洩させる可能性があります。（CVE-2019-10354）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。