Jenkins プラグインの複数の脆弱性 (2023 年 9 月 6 日)
high Nessus プラグイン ID 180576
Language:
概要
リモートのウェブサーバーホストで実行されているアプリケーションは、複数の脆弱性の影響を受けます。説明
自己報告によるバージョン番号によると、リモート Web サーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。- Jenkins Job Configuration History プラグイン 1227.v7a_79fc4dc01f 以前では、履歴エントリをレンダリングする際に「name」クエリパラメーターを制限していません。このため、攻撃者がプラグインによって作成されたのではない操作された構成履歴を Jenkins にレンダリングさせる可能性があります。(CVE-2023-41930)
- Jenkins Job Configuration History プラグイン 1227.v7a_79fc4dc01f 以前では、複数のエンドポイントで「タイムスタンプ」クエリパラメーターを制限していません。このため、「history.xml」というファイルが含まれている場合に、攻撃者が Jenkins コントローラーファイルシステム上の自分が指定したディレクトリを削除することができます。
(CVE-2023-41932)
- Jenkins Job Configuration History Plugin 1227.v7a_79fc4dc01f 以前は、XML 外部エンティティ (XXE) 攻撃を防ぐための XML パーサーを構成していません。(CVE-2023-41933)
- Jenkins Azure AD プラグイン 396.v86ce29279947 以前 (378.380.v545b_1154b_3fb_ を除く) は、提供された CSRF 保護ナンスと想定される CSRF 保護ナンスが等しいかどうかをチェックする際に、一定でない時間比較関数を使用するため、攻撃者が統計的手法を使用して有効なナンスを取得する可能性があります。
(CVE-2023-41935)
- Jenkins Google Login Plugin 1.7 以前は、提供された Webhook トークンと想定されるトークンが等しいかどうかをチェックする際に、一定でない時間比較関数を使用するため、攻撃者が統計的手法を使用して有効なトークンを取得する可能性があります。(CVE-2023-41936)
- Jenkins Bitbucket Push および pull リクエストプラグイン 2.4.0 から 2.8.3 (両方を含む) は、特定の URL を含む webhook ペイロードで提供された値を信頼し、構成された Bitbucket 認証情報を使用してそれらの URL に接続します。このため、攻撃者が細工された webhook ペイロードを送信する可能性があります。(CVE-2023-41937)
- XML 外部エンティティ参照の不適切な制限、Apache Software Foundation Apache Ivy の XML インジェクション (別名 Blind XPath インジェクション) の脆弱性。この問題は、2.5.2 より前のすべてのバージョンの Apache Ivy に影響します。2.5.2 以前の Apache Ivy が XML ファイル (自身の構成、Ivy ファイル、または Apache Maven POM のいずれか) を解析する場合、外部ドキュメントタイプ定義をダウンロードでき、使用時にそこに含まれるエンティティ参照を展開します。これが、データの盗取、Ivy を実行しているマシンのみがアクセスできるリソースへのアクセス、またはさまざまな方法で Ivy の実行を妨げるために使用される可能性があります。Ivy 2.5.2 以降では、DTD 処理は Maven POM の解析時を除き、デフォルトで無効になりました。この DTD 処理は、Ivy に付属する DTD スニペットのみを含めることができます。これは、有効な XML ファイルではないものの、Maven によって受け入れられる既存の Maven POM を処理するために必要です。必要に応じて、新しく導入されたシステムプロパティを使用して、アクセスをより寛大にできます。バージョン 2.5.2 より前の Ivy のユーザーは、Java システムプロパティを使用して、外部 DTD の処理を制限できます。Oracle の [Java API for XML Processing (JAXP) セキュリティガイド] の [外部アクセス制限に関する JAXP プロパティ] セクションを参照してください。
(CVE-2022-46751)
- Jenkins Ivy Plugin 2.5 以前のクロスサイトリクエスト偽造 (CSRF) の脆弱性により、攻撃者が無効化されたモジュールを削除する可能性があります。(CVE-2023-41938)
- Jenkins SSH2 Easy Plugin 1.4 以前は、付与されるように構成されたアクセス許可が有効であることを検証しないため、以前は付与されていたユーザー (通常、Overall/Manage などのオプションのアクセス許可) が、資格がなくなった機能にアクセスできる可能性があります。(CVE-2023-41939)
- Jenkins AWS CodeCommit Trigger Plugin 3.0.12 以前のクロスサイトリクエスト偽装 (CSRF) の脆弱性により、攻撃者が SQS キューをクリアする可能性があります。(CVE-2023-41942)
- Jenkins AWS CodeCommit トリガープラグイン 3.0.12 以前は、エラーメッセージをレンダリングする際に、フォーム検証 URL に渡されるキュー名パラメーターをエスケープしないため、HTML インジェクションの脆弱性が発生します。
(CVE-2023-41944)
- Jenkins Assembla Auth プラグイン 1.14 以前は、付与されるアクセス許可が有効であることを検証しないため、たとえ無効であり、付与すべきではない場合でも、EDIT アクセス許可を持つユーザーに Overall/Manage および Overall/SystemRead アクセス許可が付与されてしまいます。(CVE-2023-41945)
- Jenkins Fujial Testing Plugin 1.1 以前のクロスサイトリクエスト偽造 (CSRF) の脆弱性により、有効な認証情報が攻撃者が指定したユーザー名に対応している場合、攻撃者が攻撃者が指定した認証情報を使用して Fujial Testing に接続し、Fujial Testing からテスト ID とテスト名を取得する可能性があります。
(CVE-2023-41946)
- Jenkins Frugal Testing Plugin 1.1 以前の権限チェックが欠落しているため、全体/読み取り権限を持つ攻撃者が、攻撃者が指定した資格情報を使用して Frugal Testing に接続できます。
(CVE-2023-41947)
- パストラバーサルにより、Job Configuration History プラグインの XSS 脆弱性を悪用する可能性があります (CVE-2023-41931)
- Pipeline Maven 統合プラグインにおける不適切な認証情報のマスキング (CVE-2023-41934)
-TAP プラグインの蓄積型 XSS の脆弱性 (CVE-2023-41940)
- AWS CodeCommit Trigger プラグインに権限チェックがないため、認証情報 ID の列挙が可能になります (CVE-2023-41941)
- AWS CodeCommit Trigger プラグインにおける CSRF の脆弱性と権限チェックの欠落 (CVE-2023-41943)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
Jenkins プラグインを次のバージョンに更新してください。- Assembla Auth プラグイン: ベンダーのアドバイザリを参照してください
- AWS CodeCommit Trigger プラグイン: ベンダーのアドバイザリを参照してください
- Azure AD プラグイン: ベンダーのアドバイザリを参照してください
- Bitbucket Push および Pull Request プラグインのバージョン 2.8.4 以降
- Fragal Testing プラグイン: ベンダーのアドバイザリを参照してください
- Google Login プラグインのバージョン 1.8 以降
- Ivy プラグイン: ベンダーのアドバイザリを参照してください
- バージョン 1229.v3039470161a_d 以降への Job Configuration History プラグイン
- Maven Integration Plugin をバージョン 1331.v003efa_fd6e81 以降にパイプライン化します
- Qualys Container Scanning コネクタプラグインのバージョン 1.6.2.7 以降
- SSH2 Easy Plugin のバージョン 1.6 以降
- TAP プラグイン: ベンダーのアドバイザリを参照してください
詳細については、ベンダーアドバイザリを参照してください。
参考資料
プラグインの詳細
深刻度: High
ID: 180576
ファイル名: jenkins_security_advisory_2023-09-06_plugins.nasl
バージョン: 1.4
タイプ: combined
エージェント: windows, macosx, unix
ファミリー: CGI abuses
公開日: 2023/9/7
更新日: 2024/6/5
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: High
基本値: 9
現状値: 6.7
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS スコアのソース: CVE-2023-41945
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必要な KB アイテム: installed_sw/Jenkins
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2023/9/6
脆弱性公開日: 2023/8/21
参照情報
CVE: CVE-2022-46751, CVE-2023-41930, CVE-2023-41931, CVE-2023-41932, CVE-2023-41933, CVE-2023-41934, CVE-2023-41935, CVE-2023-41936, CVE-2023-41937, CVE-2023-41938, CVE-2023-41939, CVE-2023-41940, CVE-2023-41941, CVE-2023-41942, CVE-2023-41943, CVE-2023-41944, CVE-2023-41945, CVE-2023-41946, CVE-2023-41947