リモートWebサーバーで実行されているJenkinsのバージョンは、2.228より前か、2.204.6または2.222.1より前のJenkins LTSのバージョンです。そのため、以下の複数の脆弱性の影響を受けます。

  - JenkinsのCSRF防止コンポーネントに認証バイパスの脆弱性があります。認証されていないリモート攻撃者がこれを悪用し、脆弱なJenkinsインスタンスに巧妙に作りこまれたリクエストを送信して認証をバイパスし、CSRF攻撃を実行する可能性があります（CVE-2020-2160）。

  - Jenkinsのラベル式検証コンポーネントに、ユーザー指定の入力がユーザーに返される前に不適切に検証されることによる、格納型クロスサイトスクリプティング（XSS）の脆弱性があります。認証されたリモート攻撃者がこれを悪用し、巧妙に作りこまれたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります（CVE-2020-2161）。

  - Jenkinsのファイルパラメーターコンポーネントに、ユーザー指定の入力がユーザーに返される前に不適切に検証されることによる、格納型クロスサイトスクリプティング（XSS）の脆弱性があります。認証されたリモート攻撃者がこれを悪用し、巧妙に作りこまれたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります（CVE-2020-2162）。

  Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Jenkins < （2.204.6 / 2.222.1）LTS / 2.228の複数の脆弱性

high Nessus プラグイン ID 135178

変更ログが見つかりません