リモートのWebサーバーで実行されているJenkinsには次の脆弱性の影響を受けるプラグインが少なくとも1つあります。- Script Securityプラグイン 1.49以前のsrc/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/GroovySandbox.javaにサンドボックスのバイパスの脆弱性があり、サンドボックス化されたスクリプトを持つ攻撃者がJenkinsのマスターJVMで任意のコードを実行する可能性があります。（CVE-2019-1003000）- Pipeline: Groovy Plugin 2.61以前のsrc/main/java/org/jenkinsci/plugins/workflow/cps/CpsFlowDefinition.javaとsrc/main/java/org/jenkinsci/plugins/workflow/cps/CpsGroovyShellFactory.javaにサンドボックスのバイパスの脆弱性があり、全体的な権限や読み取り権限のある攻撃者がHTTPエンドポイントにパイプラインスクリプトを提供して、JenkinsマスターJVMで任意のコードを実行する可能性があります。（CVE-2019-1003001）- Pipeline: Declarative Plugin 1.3.3以前のpipeline-model-definition/src/main/groovy/org/jenkinsci/plugins/pipeline/modeldefinition/parser/Converter.groovyにサンドボックスのバイパスの脆弱性があり、全体的な権限や読み取り権限のある攻撃者がHTTPエンドポイントにパイプラインスクリプトを提供して、JenkinsマスターJVMで任意のコードを実行する可能性があります。（CVE-2019-1003002）

検出

Jenkinsセキュリティアドバイザリ2019-01-08の複数の脆弱性

high Nessus プラグイン ID 129169

バージョン 1.4