自己報告によるバージョン番号によると、リモート Web サーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - 重要度高 スクリプトセキュリティプラグインは、一般に安全に実行できる Pipeline を含むスクリプトを、権限の低いユーザーが定義できるサンドボックス機能を提供します。サンドボックス化されたスクリプト内で定義されたコードへの呼び出しが傍受され、呼び出しを許可するかどうかを判断するためにさまざまな許可リストがチェックされます。
    Script Security Plugin 1335.vf07d9ce377a_e 以前では、複数のサンドボックスバイパスの脆弱性が存在します。
    他のコンストラクターを呼び出すように細工されたコンストラクター本体を作成することで、暗黙のキャストを介してサブクラス化可能な型を構築できます。特定のサンドボックス定義されていないクラスをシャドーするサンドボックス定義の Groovy クラスを使用して、任意のサブクラス化可能な型を構築できます。これらの脆弱性により、パイプラインを含むサンドボックス化されたスクリプトを定義および実行する権限を持つ攻撃者が、サンドボックス保護をバイパスし、Jenkins コントローラー JVM のコンテキストで任意のコードを実行する可能性があります。これらの問題は、SECURITY-2824 の修正が不完全なために発生します。スクリプトセキュリティプラグイン 1336.vf33a_a_9863911 には、サンドボックスによって傍受されることなくスーパーコンストラクターを確実に構築できないようにするため、追加の制限と健全性チェックがあります。これを使用する他のコンストラクターへの呼び出しは、サンドボックスによって傍受されるようになりました。Groovy で定義されたクラスによってシャドー化できるパッケージ内のクラスは、スーパーコンストラクター呼び出しをインターセプトするときに、サンドボックスによって無視されなくなりました。(CVE-2024-34144、CVE-2024-34145)

  - 重要度中: Git サーバープラグイン 114.v068a_c7cc2574 以前では、SSH 経由の Git リポジトリへの読み取りアクセスに対して権限チェックを実行しません。これにより、以前に設定された SSH 公開鍵を使用しても、Overall/Read 権限を持たない攻撃者が Git リポジトリにアクセスする可能性があります。Git サーバープラグイン 117.veb_68868fa_027 に SSH 経由で Git リポジトリにアクセスするには、Overall/Read 権限が必要です。(CVE-2024-34146)

  - 重要度低: Telegram Bot プラグイン 1.4.0 以前では、Telegram Bot トークンを設定の一部として Jenkins コントローラーのグローバル設定ファイルである jenkinsci.plugins.telegrambot.TelegramBotGlobalConfiguration.xml に暗号化せずに保存します。このトークンは、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。このアドバイザリの公開時点では、修正はありません。弊社がこれを発表する理由をご覧ください。
    (CVE-2024-34147)

  - 重要度中: Subversion Partial Release Manager プラグイン 1.0.1 以前では、「Svn-Partial Release Manager」SCM でリリースタグからビルドがトリガーされるたびに、Java システムプロパティ hudson.model.ParametersAction.keepUndefinedParameters をプログラムで設定します。これにより、SECURITY-170/ CVE-2016-3721 の修正が無効になります。このアドバイザリの公開時点では、修正はありません。弊社がこれを発表する理由をご覧ください。
    (CVE-2024-34148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Jenkins プラグインの複数の脆弱性 (2024 年 5 月 2 日)

high Nessus プラグイン ID 194914

バージョン 1.1