リモートWebサーバーで実行されているJenkinsのバージョンは、2.219より前か、2.204.2より前のJenkins LTSのバージョンです。そのため、以下の複数の脆弱性の影響を受けます。

  -UDP増幅リフレクション攻撃は、JenkinsマスターのDDoS攻撃で使用される可能性があります。同じネットワーク内で、偽装されたUDPパッケージが送信され、結果として2つのJenkinsマスターが互いに無限ループの応答を行うようになり、サービス拒否が引き起こされる可能性もあります。
    （CVE-2020-2100）

  -インバウンドのTCPエージェント接続が開始されるとき、インバウンドのTCPエージェント接続シークレットに一定でない時間比較が使用されます。そのため、攻撃者が統計的手法を用いて接続シークレットを取得する可能性があります。
    （CVE-2020-2101）

  -2つのHMACが等しいかどうかを確認するとき、HMACに一定でない時間比較が使用されます。そのため、攻撃者が統計的手法を用いて、攻撃者が制御する入力値に有効なHMACを取得する可能性があります。（CVE-2020-2102）

  -/whoAmIページのユーザーメタデータには、HTTPのセッションIDが含まれるため、攻撃者がクロスサイトスクリプティングの脆弱性を悪用してHTTPセッションIDの値を取得する可能性があります。（CVE-2020-2103）

  -アクセス許可が適切に設定されたいないため、Overall/Read権限があれば誰でもJenkinsマスターのJVMメモリ使用率チャートにアクセスすることが可能です。
    （CVE-2020-2104）

  -Jenkins REST APIでは、攻撃者が特別に細工されたWebページに誘導してクリックジャッキング攻撃を仕掛け、REST APIエンドポイントのコンテンツを漏えいさせる可能性があります。（CVE-2020-2105）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Jenkins < 2.204.2 LTS/2.219の複数の脆弱性

medium Nessus プラグイン ID 133527

バージョン 1.7