RHEL 8 : jenkins および jenkins-2-plugins (RHSA-2023:3198)

critical Nessus プラグイン ID 194295

Language:

概要

リモートの Red Hat ホストに 1 つ以上の jenkins / jenkins-2-plugins 用セキュリティ更新プログラムがありません。

説明

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2023:3198 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- maven: デフォルトで http を使用してリポジトリをブロック (CVE-2021-26291)

- SnakeYaml: コンストラクター逆シリアル化のリモートコード実行 (CVE-2022-1471)

- snakeyaml: コレクションのネスト化された深度制限の欠落によるサービス拒否 (CVE-2022-25857)

- maven-shared-utils: Commandline クラスを介したコマンドインジェクション (CVE-2022-29599)

- Jenkins プラグイン: Blue Ocean プラグインでの CSRF 脆弱性 (CVE-2022-30953)

- Jenkins プラグイン: BlueOcean プラグインにおけるアクセス許可チェックの欠如 (CVE-2022-30954)

- apache-commons-text: 変数補間 RCE (CVE-2022-42889)

- jenkins-plugin/script-security: Jenkins スクリプトセキュリティプラグインにあるサンドボックスバイパスの脆弱性 (CVE-2022-43401、CVE-2022-43403、CVE-2022-43404)

- jenkins-plugin/workflow-cps: パイプラインのサンドボックスバイパスの脆弱性: Groovy プラグイン (CVE-2022-43402)

- jenkins-plugin/pipeline-groovy-lib: パイプラインのサンドボックスバイパスの脆弱性: Groovy Libraries プラグイン (CVE-2022-43405)

- jenkins-plugin/workflow-cps-global-lib: パイプラインのサンドボックスバイパスの脆弱性: 非推奨の Groovy Libraries プラグイン (CVE-2022-43406)

- jenkins-plugin/pipeline-input-step: 任意の URL の CSRF 保護が、パイプラインでバイパスされる可能性があります: 入力ステッププラグイン (CVE-2022-43407)

- jenkins-plugin/pipeline-stage-view: 任意の URL の CSRF 保護が、パイプラインでバイパスされる可能性があります: Stage View Plugin (CVE-2022-43408)

- jenkins-plugin/workflow-support: パイプラインにある蓄積型 XSS の脆弱性: API プラグインのサポート (CVE-2022-43409)

- mina-sshd: Java の安全ではない逆シリアル化の脆弱性 (CVE-2022-45047)

- jenkins-2-plugins/script-security: スクリプトセキュリティプラグインにあるサンドボックスバイパスの脆弱性 (CVE-2023-24422)

- jenkins-2-plugins/JUnit: JUnit プラグインの蓄積型 XSS の脆弱性 (CVE-2023-25761)

- jenkins-2-plugins/pipeline-build-step: パイプラインの蓄積型 XSS の脆弱性: ビルドステッププラグイン (CVE-2023-25762)

- Jenkins: 安全でないアクセス許可で作成された一時ファイルパラメーター (CVE-2023-27903)

- Jenkins: エージェントに関連するエラースタックトレースによる情報漏洩 (CVE-2023-27904)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

RHEL jenkins / jenkins-2-plugins パッケージを RHSA-2023:3198 のガイダンスに基づいて更新してください。

参考資料

https://access.redhat.com/security/updates/classification/#critical

http://www.nessus.org/u?80380ceb

https://bugzilla.redhat.com/show_bug.cgi?id=1955739

https://bugzilla.redhat.com/show_bug.cgi?id=2066479

https://bugzilla.redhat.com/show_bug.cgi?id=2119646

https://bugzilla.redhat.com/show_bug.cgi?id=2119647

https://bugzilla.redhat.com/show_bug.cgi?id=2126789

https://bugzilla.redhat.com/show_bug.cgi?id=2135435

https://bugzilla.redhat.com/show_bug.cgi?id=2136370

https://bugzilla.redhat.com/show_bug.cgi?id=2136374

https://bugzilla.redhat.com/show_bug.cgi?id=2136379

https://bugzilla.redhat.com/show_bug.cgi?id=2136381

https://bugzilla.redhat.com/show_bug.cgi?id=2136382

https://bugzilla.redhat.com/show_bug.cgi?id=2136383

https://bugzilla.redhat.com/show_bug.cgi?id=2136386

https://bugzilla.redhat.com/show_bug.cgi?id=2136388

https://bugzilla.redhat.com/show_bug.cgi?id=2136391

https://bugzilla.redhat.com/show_bug.cgi?id=2145194

https://bugzilla.redhat.com/show_bug.cgi?id=2150009

https://bugzilla.redhat.com/show_bug.cgi?id=2164278

https://bugzilla.redhat.com/show_bug.cgi?id=2170039

https://bugzilla.redhat.com/show_bug.cgi?id=2170041

https://bugzilla.redhat.com/show_bug.cgi?id=2177632

https://bugzilla.redhat.com/show_bug.cgi?id=2177634

http://www.nessus.org/u?5e7e4c2f

https://access.redhat.com/errata/RHSA-2023:3198

プラグインの詳細

深刻度: Critical

ID: 194295

ファイル名: redhat-RHSA-2023-3198.nasl

バージョン: 1.1

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2024/4/28

更新日: 2024/4/29

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus