自己報告によるバージョン番号によると、リモート Web サーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins 2.355 以前、LTS 2.332.3 以前の複数のクロスサイトスクリプティング (XSS) の脆弱性により、攻撃者が HTML および JavaScript を Jenkins UI に注入する可能性があります。SECURITY-2779 (CVE-2022-34170): Jenkins 2.320 および LTS 2.332.1 以降、ヘルプアイコンのツールチップは機能名をエスケープしなくなり、SECURITY-1955 の修正が効果的に取り消されます。SECURITY-2761 (CVE-2022-34171): - Jenkins 2.321 および 2.332.1 以降では、新しいシンボルベースの SVG アイコンに対して生成される HTML 出力に、追加のエスケープのない Jenkins 2.334 からJenkins 2.335 および l:icon の alt 属性まで、l:ionicon が含まれます。SECURITY-2776 (CVE-2022-34172): Jenkins 2.340 以降、シンボルベースのアイコンは、以前エスケープしたツールチップパラメーターの値をエスケープしていません。SECURITY-2780 (CVE-2022-34173): Jenkins 2.340以降、リストビューのビルドボタンのツールチップは、ジョブ表示名をエスケープせずにHTMLをサポートしています。これらの脆弱性は、Job / Configure権限を持つ攻撃者に悪用可能であることが知られています。Jenkins 2.356、LTS 2.332.4 および LTS 2.346.1 は、以下の脆弱性に対処しています : SECURITY-2779: ヘルプアイコンのツールチップの機能名がエスケープされるようになりました。
    SECURITY-2761: l: ionicon (Jenkins LTS 2.332.4) のタイトル属性および l: icon (Jenkins 2.356 and LTS 2.346.1) は、生成された HTML 出力でエスケープされます。SECURITY-2776: シンボルベースのアイコンは、ツールチップパラメーターの値をエスケープしなくなりました。SECURITY-2780: リストビューのビルドボタンのツールチップがエスケープされるようになりました。SECURITY-2776 または SECURITY-2780 は Jenkins 2.332.x には存在せず、2.346.1 より前の 2.346.x 行で修正されているため、Jenkins LTS リリースは影響を受けません。(CVE-2022-34170、CVE-2022-34171、CVE-2022-34172、CVE-2022-34173)

  - Jenkins 2.355 以前、LTS 2.332.3 以前では、ログインフォームのタイミングの不一致を観察できてしまうため、Jenkins ユーザーデータベースセキュリティレルムを使用する際に、無効なユーザー名でのログイン試行と、有効なユーザー名および不正なパスワードでのログイン試行を区別することが可能になります。これにより、攻撃者は、攻撃者が指定したユーザー名の有効性を判断できます。無効なユーザー名でのログイン試行は、Jenkins 2.356、LTS 2.332.4 のタイミングの不一致を排除するために、合成パスワードを検証するようになりました。
    (CVE-2022-34174)

  - Jenkins は、Stapler Web フレームワークを使用して UI ビューをレンダリングしています。これらのビューは、多くの場合、いくつかのビューフラグメントで構成され、プラグインがより多くのコンテンツで既存のビューを拡張できるようにします。Jenkins 2.186 および LTS 2.176.2 で SECURITY-534 が修正される前は、攻撃者が、機密情報を含むビューフラグメントに直接アクセスし、対応するビューの権限チェックをバイパスする可能性がありました。Jenkins 2.335 から 2.355 (両方を含む) では、SECURITY-534 に追加された保護が一部のビューで無効になっています。その結果、攻撃者が、極めて限られた状況で機密情報を含むビューフラグメントに直接アクセスし、対応するビューの権限チェックをバイパスする可能性がありました。公開時点では、Jenkins セキュリティチームは、Jenkins プラグインエコシステム全体で脆弱なビューフラグメントを認識していません。Jenkins 2.356 は、影響を受けるビューの保護を復元します。(CVE-2022-34175)

  - JUnit プラグイン 1119.va_a_5e9068da_d7 以前では、テスト結果の説明がエスケープされません。これにより、Run / Update 権限を持つ攻撃者が悪用可能な蓄積型クロスサイトスクリプティング (XSS) の脆弱性が発生します。
    JUnit プラグイン 1119.1121.vc43d0fc45561 は、構成されたマークアップフォーマッターをテスト結果の説明に適用します。(CVE-2022-34176)

  - パイプライン :  入力ステッププラグイン 448.v37cea_9a_10a_70 およびそれ以前では、Pipeline 作成者が、サポートされていなくても Pipeline 入力ステップのファイルパラメーターを指定できます。アップロードされたファイルはワークスペースにコピーされませんが、Jenkins はサニタイズのないパラメーター名をビルド関連ディレクトリ内の相対パスとして使用し、ビルドメタデータの一部としてコントローラー上のファイルをアーカイブします。これにより、攻撃者が、パイプラインを構成して、攻撃者が指定したコンテンツで Jenkins コントローラーファイルシステム上の任意のファイルを作成または置き換える可能性があります。パイプライン：入力ステッププラグイン 449.v77f0e8b_845c4 は、パイプライン入力ステップのファイルパラメーターの使用を禁止します。それらを使用しようとすると、パイプラインの実行が失敗します。
    (CVE-2022-34177)

  - 埋め込み可能なビルドステータスプラグイン 2.0.3 では、可能な値を制限することなく、ビルドステータスバッジがリンクするリンククエリパラメーターを指定できます。これにより、折り返し型クロスサイトスクリプティング (XSS) の脆弱性が発生します。組み込み可能なビルドステータスプラグイン 2.0.4 は、URL を http および https プロトコルに制限し、提供された値を適切にエスケープします。(CVE-2022-34178)

  - 組み込みビルドステータスプラグイン 2.0.3 以前では、可能な値を制限することなく、異なる SVG 画像スタイルを選択するために使用されるスタイルクエリパラメーターを指定できます。これにより、相対パストラバーサルの脆弱性が発生し、全体 / 読み取り権限のない攻撃者が Jenkins コントローラーファイルシステムの他の SVG へのパスを指定する可能性があります。組み込み可能なビルドステータスプラグイン 2.0.4 は、スタイルクエリパラメーターを 3 つの正当な値のいずれかに制限します。(CVE-2022-34179)

  - 組み込み可能なビルドステータスプラグイン 2.0.3 以前では、保護されていないステータスバッジアクセスに対して提供する HTTP エンドポイントで ViewStatus 権限チェックが正しく実行されません。これにより、権限のない攻撃者が、攻撃者が指定したジョブやビルドのビルドステータスバッジアイコンを取得する可能性があります。
    埋め込み可能なビルドステータスプラグイン 2.0.4 には、ビルドステータスバッジアイコンを取得するための ViewStatus 権限が必要です。
    (CVE-2022-34180)

  - xUnit プラグイン 3.0.8 以前では、エージェントからコントローラーへのメッセージが実装されています。これは、ユーザー指定のディレクトリが存在しない場合にそれを作成し、その中のファイルをテスト結果として解析します。これにより、攻撃者は、エージェントプロセスを制御して、Jenkins コントローラーに任意のディレクトリを作成したり、攻撃者が指定したディレクトリの既存のファイルからテスト結果を取得したりすることができます。xUnit プラグイン 3.1.0 は、メッセージタイプをエージェントからコントローラーではなく、コントローラーからエージェントに変更することで、コントローラーでの実行を防止します。
    (CVE-2022-34181)

  - ネスト化されたビュープラグイン 1.20 〜 1.25 (両方を含む) は、検索パラメーターをエスケープしません。これにより、折り返し型クロスサイトスクリプティング (XSS) の脆弱性が発生します。ネスト化されたビュープラグイン 1.26 が検索パラメーターをエスケープします。
    (CVE-2022-34182)

  - 複数のプラグインは、提供するパラメータータイプの名前と説明をエスケープしません。エージェントサーバーパラメーター 1.1 以前 (SECURITY-2731 / CVE-2022-34183）CRX Content Package Deployer 1.9 以前 (SECURITY-2727 / CVE-2022-34184) 日付パラメータープラグイン 0.0.4 以前 (SECURITY-2711 / CVE-2022-34185) 動的拡張選択パラメーター 1.0.1 以前 (SECURITY-2712 / CVE-2022-34186) ファイルシステムリストパラメーター 0.0.7 以前 (SECURITY-2716 / CVE-2022-34187) 非表示パラメータープラグイン 0.0.4 以前 (SECURITY-2755 / CVE-2022-34188) 画像タグパラメーター 1.10 以前 ( SECURITY-2721 / CVE-2022-34189) CI サーバー用 Maven メタデータ 2.1 以前 (SECURITY-2714 / CVE-2022-34190) NS-ND Integration Performance Publisher 4.8.0.77 以前 (SECURITY-2736 / CVE-2022-34191) ontrack Jenkins 4.0.0 以前 (SECURITY -2733 / CVE-2022-34192) パッケージバージョン 1.0.1 以前 (SECURITY-2735 / CVE-2022-34193) 読み取り専用パラメーター 1.0.0 以前 (SECURITY-2719 / CVE-2022-34194) リポジトリコネクタ 2.2.0 以前 (SECURITY-2666 / CVE-2022-34195) REST リストパラメータープラグイン 1.5.2 以前 (SECURITY-2730 / CVE-2022-34196) Sauce OnDemand 1.204 以前 (SECURITY-2724 / CVE-2022-34197) スタッシュブランチパラメーター 0.3.0 以前 (SECURITY-2725 / CVE-2022-34198) これにより、アイテム / 構成権限を持つ攻撃者が悪用可能な蓄積型クロスサイトスクリプティング (XSS) の脆弱性が発生します。これらの脆弱性を悪用するには、パラメーターがJenkins (コア) によって提供されるBuild With ParametersやParametersページなどの別のページに一覧表示されていること、およびこれらのページが悪用を防ぐために強化されていないことが必要です。Jenkins (コア）は、SECURITY-353 / CVE-2017-2601 修正の一部として、 2.44 および LTS 2.32.2 以降、この種の脆弱性の悪用を Build With Parameters および Parameters ページで防止しています。さらに、いくつかのプラグインは、デフォルトで悪用を防ぐ方法でパラメーターをリストするように以前に更新されています。リストについては、2022 年 4 月 12 日のセキュリティアドバイザリの SECURITY-2617 を参照してください。
    次のプラグインが更新され、指定されたバージョンで提供されるパラメータータイプの名前と説明がエスケープされました。REST リストパラメータープラグイン 1.6.0 非表示パラメータープラグイン 0.0.5 このアドバイザリの公開時点では、次のプラグインに利用できる修正はありません。エージェントサーバーパラメーター 1.1 以前 (SECURITY-2731 / CVE-2022-34183）CRX Content Package Deployer 1.9 以前 (SECURITY-2727 / CVE-2022-34184) 日付パラメータープラグイン 0.0.4 以前 (SECURITY-2711 / CVE-2022-34185) 動的拡張選択パラメーター 1.0.1 以前 (SECURITY-2712 / CVE-2022-34186) ファイルシステムリストパラメーター 0.0.7 以前 (SECURITY-2716 / CVE-2022-34187) 画像タグパラメーター 1.10 以前 ( SECURITY-2721 / CVE-2022-34189) CI サーバー用 Maven メタデータ 2.1 以前 (SECURITY-2714 / CVE-2022-34190) NS-ND Integration Performance Publisher 4.8.0.77 以前 (SECURITY-2736 / CVE-2022-34191) ontrack Jenkins 4.0.0 以前 (SECURITY -2733 / CVE-2022-34192) パッケージバージョン 1.0.1 以前 (SECURITY-2735 / CVE-2022-34193) 読み取り専用パラメーター 1.0.0 以前 (SECURITY-2719 / CVE-2022-34194) リポジトリコネクタ 2.2.0 以前 (SECURITY-2666 / CVE-2022-34195) Sauce OnDemand 1.204 以前 (SECURITY-2724 / CVE-2022-34197) スタッシュブランチパラメーター 0.3.0 以前 (SECURITY-2725 / CVE-2022-34198) (CVE-2022-34183、CVE-2022-34184、CVE-2022-34185、CVE-2022-34186、CVE-2022-34187、CVE-2022-34188、CVE-2022-34189、CVE-2022-34190、CVE-2022-34191、CVE-2022-34192、CVE-2022-34193、CVE-2022-34194、CVE-2022-34195、CVE-2022-34196、CVE-2022-34197、CVE-2022-34198)

  - Convertigo Mobile Platform プラグイン 1.1 以前では、パスワードが暗号化されずに、構成の一部として Jenkins コントローラーのジョブ config.xml ファイルに保存されます。これらのパスワードは、アイテム / 拡張読み取り権限または Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。このアドバイザリの公開時点では、修正はありません。 （CVE-2022-34199）

  - Convertigo Mobile Platform プラグイン 1.1 以前では、フォーム検証を実装するメソッドで権限チェックを実行しません。これにより、Overall / Read 権限を持つ攻撃者が、攻撃者が指定した URL に接続する可能性があります。さらに、このフォーム検証メソッドは POST リクエストを必要としないため、クロスサイトリクエスト偽造 (CSRF) の脆弱性が発生します。このアドバイザリの公開時点では、修正はありません。(CVE-2022-34200、CVE-2022-34201)

  - EasyQA プラグイン 1.0 以前では、ユーザーパスワードが暗号化されずに、構成の一部として Jenkins コントローラーのグローバル構成ファイル EasyQAPluginProperties.xml に保存されます。これらのパスワードは、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。このアドバイザリの公開時点では、修正はありません。 （CVE-2022-34202）

  - EasyQA プラグイン 1.0 以前では、フォーム検証を実装するメソッドで権限チェックを実行しません。これにより、Overall / Read 権限を持つ攻撃者が、攻撃者が指定した HTTP サーバーに接続する可能性があります。さらに、このフォーム検証メソッドは POST リクエストを必要としないため、クロスサイトリクエスト偽造 (CSRF) の脆弱性が発生します。このアドバイザリの公開時点では、修正はありません。
    (CVE-2022-34203、CVE-2022-34204)

  - Jianliao 通知プラグイン 1.1 以前では、フォーム検証を実装するメソッドで権限チェックを実行しません。これにより、Overall / Read 権限を持つ攻撃者が、攻撃者が指定した URL に HTTP POST リクエストを送信する可能性があります。さらに、このフォーム検証メソッドは POST リクエストを必要としないため、クロスサイトリクエスト偽造 (CSRF) の脆弱性が発生します。このアドバイザリの公開時点では、修正はありません。(CVE-2022-34205、CVE-2022-34206)

  - Beaker builder プラグイン 1.10 以前では、フォーム検証を実装するメソッドで権限チェックを実行しません。これにより、Overall / Read 権限を持つ攻撃者が、攻撃者が指定した URL に接続する可能性があります。
    さらに、このフォーム検証メソッドは POST リクエストを必要としないため、クロスサイトリクエスト偽造 (CSRF) の脆弱性が発生します。このアドバイザリの公開時点では、修正はありません。
    (CVE-2022-34207、CVE-2022-34208)

  - ThreadFix プラグイン 1.5.4 以前では、フォーム検証を実装するメソッドで権限チェックを実行しません。これにより、Overall / Read 権限を持つ攻撃者が、攻撃者が指定した URL に接続する可能性があります。
    さらに、このフォーム検証メソッドは POST リクエストを必要としないため、クロスサイトリクエスト偽造 (CSRF) の脆弱性が発生します。このアドバイザリの公開時点では、修正はありません。
    (CVE-2022-34209、CVE-2022-34210)

  - vRealize Orchestrator プラグイン 3.0 以前は、HTTP エンドポイントで権限チェックを実行しません。これにより、Overall / Read 権限を持つ攻撃者が、攻撃者が指定した URL に HTTP POST リクエストを送信する可能性があります。
    さらに、この HTTP エンドポイントは POST リクエストを必要としないため、クロスサイトリクエスト偽造 (CSRF) の脆弱性が発生します。このアドバイザリの公開時点では、修正はありません。(CVE-2022-34211、CVE-2022-34212)

  -Squash TM Publisher (Squash4Jenkins) プラグイン 1.0.0 以前では、Jenkinsコントローラーのグローバル構成ファイルorg.jenkinsci.squashtm.core.SquashTMPublisher.xmlに構成の一部としてパスワードが暗号化されずに保存されます。これらのパスワードは、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。このアドバイザリの公開時点では、修正はありません。 （CVE-2022-34213）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Jenkins プラグインの複数の脆弱性 (2022 年 6 月 22 日)

critical Nessus プラグイン ID 163259

バージョン 1.6