リモート Web サーバーで実行されている Jenkins Enterprise または Jenkins Operations Center のバージョンは、2.346.40.0.7 より前の 2.346.x です。そのため、以下を含む複数の脆弱性による影響を受けます。

  - スクリプトセキュリティプラグインにあるサンドボックスバイパスの脆弱性 (CVE-2023-24422)

  - Gerrit Trigger プラグインの CSRF 脆弱性 (CVE-2023-24423)

  - OpenId Connect 認証プラグインにおけるセッション固定の脆弱性 (CVE-2023-24424)

  - Kubernetes 認証情報プロバイダープラグインにおけるシステムスコープ Kubernetes 認証情報の漏洩 (CVE-2023-24425)

  - Azure AD プラグインにおけるセッション固定の脆弱性 (CVE-2023-24426)

  - Bitbucket OAuth プラグインにおけるセッション固定の脆弱性 (CVE-2023-24427)

  - Bitbucket OAuth プラグインの CSRF 脆弱性 (CVE-2023-24428)

  -Semantic Versioning プラグインのエージェントからコントローラーへのセキュリティバイパス (CVE-2023-24429)

  - Semantic Versioning プラグインのエージェントでの XXE の脆弱性 (CVE-2023-24430)

  - MacStadium による Orka プラグインに権限チェックがないため、認証情報 ID の列挙が可能になります (CVE-2023-24431)

  - CSRF 脆弱性と MacStadium による Orka プラグインに権限チェックがないため、認証情報の取得が可能になります (CVE-2023-24432、CVE-2023-24433)

  - GitHub プルリクエストビルダープラグインにおける CSRF の脆弱性と権限チェックの欠落 (CVE-2023-24434、CVE-2023-24435)

  - GitHub プルリクエストビルダープラグインに権限チェックがないため、認証情報 ID の列挙が可能になります (CVE-2023-24436)

  - JIRA パイプラインステップスプラグインにおける CSRF の脆弱性と権限チェックの欠落 (CVE-2023-24437、CVE-2023-24438)

  - JIRA パイプラインステップスプラグインによりプレーンテキストで保存されたキー (CVE-2023-24439、CVE-2023-24440)

  - MSTest プラグインのエージェントでの XXE の脆弱性 (CVE-2023-24441)

  - GitHub プルリクエストカバレッジステータスプラグインによってプレーンテキストで保存された認証情報 (CVE-2023-24442)

  - TestComplete サポートプラグインの XXE 脆弱性 (CVE-2023-24443)

  - OpenID プラグインにおけるセッション固定の脆弱性 (CVE-2023-24444)

  - OpenID プラグインにおけるオープンリダイレクトの脆弱性 (CVE-2023-24445)

  - OpenID プラグインの CSRF 脆弱性 (CVE-2023-24446)

  - RabbitMQ カスタマープラグインにおける CSRF の脆弱性と権限チェックの欠落 (CVE-2023-24447、CVE-2023-24448)

  - PWauth セキュリティレルムプラグインのパストラバーサルの脆弱性 (CVE-2023-24449)

  - View-cloner プラグインによりプレーンテキストで保存されたパスワード (CVE-2023-24450)

  - Cisco Spark Notifier プラグインに権限チェックがないため、認証情報 ID の列挙が可能になります (CVE-2023-24451)

  - TestQuality Updater プラグインにおける CSRF の脆弱性と権限チェックの欠落 (CVE-2023-24452、CVE-2023-24453)

  - TestQuality Updater プラグインによりプレーンテキストで保存されたパスワード (CVE-2023-24454)

  - Visualexpert プラグインにおけるストラバーサルの脆弱性 (CVE-2023-24455)

  - Keycloak 認証プラグインにおけるセッション固定の脆弱性 (CVE-2023-24456)

  - Keycloak 認証プラグインの CSRF 脆弱性 (CVE-2023-24457)

  - BearyChat プラグインにおける CSRF の脆弱性と権限チェックの欠落 (CVE-2023-24458、CVE-2023-24459)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Jenkins Enterprise および Operations Center 2.346.x < 2.346.40.0.7 の複数の脆弱性 (CloudBees セキュリティアドバイザリ 2023 年 1 月 24 日)

critical Nessus プラグイン ID 170555

バージョン 1.0