自己報告されたバージョン番号によると、リモートの Web サーバーで実行されている Jenkins のバージョンは、2.492.3より前の Jenkins LTS または 2.504より前の Jenkins weekly です。そのため、以下の複数の脆弱性の影響を受けます。

  - Jenkins 2.503 以前、LTS 2.492.2 以前ではアクセス許可チェックがありません。これにより、Computer/Create アクセス許可はあるものの Computer/Configure アクセス許可がない攻撃者が、エージェントをコピーし、設定内の暗号化されたシークレットにアクセスできる可能性があります。(CVE-2025-31721)

  - Jenkins 2.503 以前、LTS 2.492.2 以前ではアクセス許可チェックがありません。これにより、Computer/Create アクセス許可はあるものの Computer/Extended Read アクセス許可がない攻撃者が、エージェントをコピーし、設定内にアクセスできる可能性があります。(CVE-2025-31720)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Jenkins LTS < 2.492.3/ Jenkins weekly < 2.504の複数の脆弱性

medium Nessus プラグイン ID 233779

バージョン 1.2

バージョン 1.1

バージョン 1.2 Apr 4, 2025, 9:01 PM IAVM reference STIG Severity (set to "I") Plugin Feed: 202504042101
バージョン 1.1 Apr 3, 2025, 1:01 AM New Plugin Feed: 202504030101