Jenkins Enterprise および Operations Center < 2.277.43.0.5/ 2.319.2.5の複数の脆弱性 (CloudBees セキュリティアドバイザリ 2022 年 1 月 12 日)

high Nessus プラグイン ID 158059

概要

リモートの Web サーバーでホストされているジョブスケジューリング / 管理システムは、複数の脆弱性の影響を受けます。

説明

リモートWebサーバーで実行されているJenkins EnterpriseまたはJenkins Operations Centerのバージョンは、2.277.43.0.5より前の2.277.x、2.319.2.5より前の2.xです。そのため、以下を含む複数の脆弱性による影響を受けます:

- Jenkins Docker Commons プラグイン 1.17 以前は、イメージまたはタグの名前をサニタイズしないため、Item/Configure 権限を持つ攻撃者がOSコマンド実行の脆弱性を悪用したり、以前に構成されたジョブの SCM リポジトリのコンテンツを制御できるようになります。(CVE-2022-20617)

- Jenkins Bitbucket Branch Source プラグイン 737.vdf9dc06105be 以前の クロスサイトリクエストフォージェリ (CSRF) の脆弱性により、攻撃者は、別の方法で取得した攻撃者指定の認証情報 ID を使用して攻撃者指定の URL に接続し、Jenkins に保存されている認証情報をキャプチャすることができます。(CVE-2022-20619)

- Jenkins Debian Package Builder プラグイン 1.6.11 以前では、エージェントがコントローラーの攻撃者指定のパスでコマンドライン「git」を呼び出すことを可能にする機能を実装しています。これにより、攻撃者は、エージェントプロセスを制御して、コントローラーの任意の OS コマンドを呼び出すことができます。(CVE-2022-23118)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

Jenkins Enterprise または Jenkins Operations Center をバージョン2.277.43.0.5、2.319.2.5 以降にアップグレードしてください。

関連情報

http://www.nessus.org/u?92a04731

プラグインの詳細

深刻度: High

ID: 158059

ファイル名: cloudbees-security-advisory-2022-01-12.nasl

バージョン: 1.5

タイプ: combined

エージェント: windows, macosx, unix

ファミリー: CGI abuses

公開日: 2022/2/15

更新日: 2022/4/11

構成: 徹底的なチェックを有効にする

サポートされているセンサー: Nessus Agent

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: High

Base Score: 9

Temporal Score: 6.7

ベクトル: AV:N/AC:L/Au:S/C:C/I:C/A:C

現状ベクトル: E:U/RL:OF/RC:C

CVSS スコアのソース: CVE-2022-23118

CVSS v3

リスクファクター: High

Base Score: 8.8

Temporal Score: 7.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:cloudbees:jenkins

必要な KB アイテム: installed_sw/Jenkins

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2022/1/12

脆弱性公開日: 2022/1/12

参照情報

CVE: CVE-2022-20612, CVE-2022-20613, CVE-2022-20614, CVE-2022-20615, CVE-2022-20616, CVE-2022-20617, CVE-2022-20618, CVE-2022-20619, CVE-2022-20620, CVE-2022-20621, CVE-2022-23105, CVE-2022-23106, CVE-2022-23107, CVE-2022-23108, CVE-2022-23109, CVE-2022-23110, CVE-2022-23111, CVE-2022-23112, CVE-2022-23113, CVE-2022-23114, CVE-2022-23115, CVE-2022-23116, CVE-2022-23117, CVE-2022-23118

IAVA: 2022-A-0084