Jenkins プラグインの複数の脆弱性 (2024 年 6 月 26 日)
medium Nessus プラグイン ID 201047
Language:
概要
リモートのウェブサーバーホストで実行されているアプリケーションは、複数の脆弱性の影響を受けます。説明
自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。- 重要度低: Structs プラグインは、通常は実行前にビルドステップをインスタンス化、および設定するためにパイプラインなどで使用されるユーティリティ機能を提供します。Structs プラグイン 337.v1b_04ea_4df7c8 以前がビルドステップの設定に失敗した場合、ステップパラメーターとして渡された秘密情報が含まれる可能性のある診断情報を含む警告メッセージがログに記録されます。これにより、システムログを通じて機密情報が偶発的にエクスポージャーする可能性があります。Structs プラグイン 338.v848422169819 は、これらの警告メッセージを記録する前に実際のパラメーターのタイプを検査し、秘密情報が含まれている場合は詳細な診断情報を FINE レベルのログメッセージに制限します。これらのログメッセージは、Jenkins システムログには表示されません。(CVE-2024-39458)
- 重要度中: 秘密ファイルの認証情報の作成時、Plain Credentials プラグイン 182.v468b_97b_9dcb_8 以前は、ファイルのコンテンツの復号化を試みて、それが有効な暗号化された秘密情報かどうかをチェックしようとします。まれに、ファイルの内容が暗号化された秘密情報の想定される形式と一致し、ファイルの内容が暗号化されずに (Base64 のみでエンコードされて) Jenkins コントローラーファイルシステムに保存されることがあります。これらの認証情報は、Jenkins コントローラーファイルシステムへのアクセス許可 (グローバル認証情報) またはアイテム/拡張読み取り権限 (フォルダースコープの認証情報) を持つユーザーが表示できます。暗号化されずに保存された秘密ファイルの認証情報は、使用中に復号化されるため、使用できません。したがって、使用に成功した秘密ファイルの認証情報は影響を受けません。Plain Credentials プラグイン 183.va_de8f1dd5a_2b_ は、秘密のファイル認証情報を作成する際に、ファイルのコンテンツの復号を試行しなくなりました。(CVE-2024-39459)
- 重要度中: Bitbucket Branch Source プラグイン 886.v44cf5e4ecec5 以前では、ビルドログの Bitbucket URL の一部として Bitbucket OAuth アクセストークンを出力する場合があります。Bitbucket Branch Source プラグイン 887.va_d359b_3d2d8d には、ビルドログの Bitbucket URL の一部として Bitbucket OAuth アクセストークンが含まれていません。(CVE-2024-39460)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Jenkins プラグインを次のバージョンに更新してください。- Bitbucket Branch Source プラグインのバージョン 887.va_d359b_3d2d8d 以降
- Plain Credentials プラグインのバージョン 183.va_de8f1dd5a_2b_ 以降
- Structs プラグインのバージョン 338.v848422169819 以降
詳細については、ベンダーアドバイザリを参照してください。
参考資料
プラグインの詳細
深刻度: Medium
ID: 201047
ファイル名: jenkins_security_advisory_2024-06-26_plugins.nasl
バージョン: 1.1
タイプ: combined
エージェント: windows, macosx, unix
ファミリー: CGI abuses
公開日: 2024/6/26
更新日: 2024/6/26
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.9
CVSS v2
リスクファクター: Medium
基本値: 4
現状値: 3
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N
CVSS スコアのソース: CVE-2024-39460
CVSS v3
リスクファクター: Medium
基本値: 4.3
現状値: 3.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必要な KB アイテム: installed_sw/Jenkins
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2024/6/26
脆弱性公開日: 2024/6/26