リモート Redhat Enterprise Linux 8 ホストに、RHSA-2023:3663 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - http2-server: 無効な HTTP/2 リクエストが DoS を引き起こします (CVE-2022-2048)

  - springframework: BCrypt は、作業係数 31 のソルトラウンドをスキップします (CVE-2022-22976)

  - jettison: stackoverflow によるパーサーのクラッシュ (CVE-2022-40149)

  - jettison: ユーザー指定の XML または JSON データによるメモリ枯渇 (CVE-2022-40150)

  - xstream: スタックオーバーフローを引き起こす、要素のハッシュ値に基づく再帰コレクションまたはマップの注入によるサービス拒否 (CVE-2022-41966)

  - jackson-databind: UNWRAP_SINGLE_VALUE_ARRAYS に関するネスト化された深いラッパー配列 (CVE-2022-42003)

  - jackson-databind: 深くネスト化された配列の使用 (CVE-2022-42004)

  - json-smart: json-smart での制御されないリソース消費の脆弱性 (リソース枯渇) (CVE-2023-1370)

  - jettison: JSONArray での制御されない再帰 (CVE-2023-1436)

  - springframework: プレフィックスのない二重ワイルドカードパターンによるセキュリティバイパス (CVE-2023-20860)

  - log4j1-chainsaw、log4j1-socketappender: hashmap ロギングによる DoS (CVE-2023-26464)

  - Jenkins: プラグインマネージャーの XSS 脆弱性 (CVE-2023-27898)

  - Jenkins: 安全でないアクセス許可で作成された一時プラグインファイル (CVE-2023-27899)

  - Jenkins: 安全でないアクセス許可で作成された一時ファイルパラメーター (CVE-2023-27903)

  - Jenkins: エージェントに関連するエラースタックトレースによる情報漏洩 (CVE-2023-27904)

  - jenkins-2-plugin: workflow-job: パイプラインにある蓄積型 XSS の脆弱性: Job プラグイン (CVE-2023-32977)

  - jenkins-2-plugin: pipeline-utility-steps: エージェントにおける Pipeline Utility Steps プラグインでの任意のファイル書き込みの脆弱性 (CVE-2023-32981)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8 : jenkins および jenkins-2-plugins (RHSA-2023:3663)

critical Nessus プラグイン ID 194242

バージョン 1.0