リモート Web サーバーで実行されている Jenkins Enterprise または Jenkins Operations Center のバージョンは、2.277.43.0.6 より前の 2.277.x、2.303.30.0.5 より前の 2.303.x、および 2.319.3.3より前の 2.xです。そのため、以下の複数の脆弱性の影響を受けます。

  - XStream は、オブジェクトを XML にシリアル化したり戻したりするためのオープンソースの Java ライブラリです。1.4.19 より前のバージョンでは、この脆弱性により、リモート攻撃者が CPU の種類やペイロードのパラレル実行によっては 100％ の CPU 時間を標的のシステムに割り当てる可能性があり、処理された入力ストリームを操作するだけでサービス拒否が発生する可能性があります。XStream 1.4.19は要素をコレクションに追加するのにかかる時間を監視して累積し、設定されたしきい値を超えた場合に例外をスローします。ユーザーは、至急アップグレードすることが勧められています。
    アップグレードできないユーザーは、再帰を防ぐために NO_REFERENCE モードを設定する可能性があります。アップグレードが不可能な場合の回避策の詳細については、GHSA-rmr5-cpv2-vgjf を参照してください。(CVE-2021-43859)

  -Jenkins 2.333以前、LTS 2.319.2以前は、脆弱性 CVE-2021-43859に対する保護を適用するために更新されていないカスタム XStream コンバーターを定義しており、制約なくリソースを使用できるようにします。 (CVE-2022-0538)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Jenkins Enterprise and Operations Center 2.277.x< 2.277.43.0.6/ 2.303.x< 2.303.30.0.5/ 2.319.3.3複数の DoS (CloudBees セキュリティアドバイザリ 2022 年 2 月 9 日)

high Nessus プラグイン ID 158672

依存が見つかりません