リモート Redhat Enterprise Linux 8 ホストに、RHSA-2023:3299 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - google-oauth-client: ネイティブアプリ用の RFC for OAuth 2.0 に準拠した PKCE サポートの欠如により、不適切な承認が引き起こされる可能性があります (CVE-2020-7692)

  - kubernetes-client: unmarshalYaml メソッドにおける安全でない逆シリアル化 (CVE-2021-4178)

  - jackson-databind: JDK シリアル化を使用して JsonNode をシリアル化する場合の DoS の可能性 (CVE-2021-46877)

  - springframework: RegexRequestMatcher での認証バイパス (CVE-2022-22978)

  - com.google.code.gson-gson: com.google.code.gson-gson の信頼できないデータの逆シリアル化 (CVE-2022-25647)

  - xstream: XML データをシリアル化するための Xstream は、サービス拒否攻撃に対して脆弱でした (CVE-2022-40151)

  - woodstox-core: XML データをシリアル化するための woodstox は、サービス拒否攻撃に対して脆弱でした (CVE-2022-40152)

  - apache-commons-text: 変数補間 RCE (CVE-2022-42889)

  - jenkins-2-plugins/script-security: スクリプトセキュリティプラグインにあるサンドボックスバイパスの脆弱性 (CVE-2023-24422)

  - Apache Commons FileUpload: 過剰な部分による FileUpload DoS (CVE-2023-24998)

  - jenkins-2-plugins/JUnit: JUnit プラグインの蓄積型 XSS の脆弱性 (CVE-2023-25761)

  - jenkins-2-plugins/pipeline-build-step: パイプラインの蓄積型 XSS の脆弱性: ビルドステッププラグイン (CVE-2023-25762)

  - Jenkins: サービス拒否攻撃を修正しました (CVE-2023-27900、CVE-2023-27901)

  - Jenkins: ディレクトリブラウザからアクセス可能なワークスペースの一時ディレクトリ (CVE-2023-27902)

  - Jenkins: エージェントに関連するエラースタックトレースによる情報漏洩 (CVE-2023-27904)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8 : jenkins および jenkins-2-plugins (RHSA-2023:3299)

critical Nessus プラグイン ID 194250

バージョン 1.1