Jenkins プラグインの複数の脆弱性 (2025 年 7 月 9 日)
medium Nessus プラグイン ID 241693
Language:
概要
リモートのウェブサーバーホストで実行されているアプリケーションは、複数の脆弱性の影響を受けます。説明
自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。- Jenkins Applitools Eyes プラグイン 1.16.5 以前は、暗号化されていない Applitools API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53742)
- Jenkins Applitools Eyes プラグイン 1.16.5 以前は、ビルドページの Applitools URL をエスケープしません。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、Item/Configure アクセス許可を持つ攻撃者がこれを悪用する可能性があります。(CVE-2025-53658)
- Jenkins Credentials Binding プラグイン 687.v619cb_15e923f 以前では、ビルドログに書き込まれる例外エラーメッセージに存在する認証情報を適切にマスクしません (つまり、アスタリスクで置き換えません)。
(CVE-2025-53650)
- Jenkins HTML Publisher プラグイン 425 以前では、Publish HTML レポートのビルド後の手順中にアーカイブされたファイルの絶対パスを含むログメッセージが表示され、ビルドログの Jenkins コントローラーファイルシステムに関する情報が漏洩する可能性があります。(CVE-2025-53651)
- Jenkins Git Parameter プラグイン 439.vb_0e46ca_14534 以前は、ビルドに送信される Git パラメーター値が提供される選択肢の 1 つと一致することを検証しません。これにより、Item/Build 権限を持つ攻撃者が任意の値を Git パラメーターに注入する可能性があります。(CVE-2025-53652)
- Jenkins Aqua Security Scanner プラグイン 3.2.8 以前では、暗号化されていない Scanner Tokens for Aqua API を Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53653)
- Jenkins Statistics Gatherer プラグイン 2.0.3 以前では、AWS 秘密鍵は暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53654)
- Jenkins Statistics Gatherer プラグイン 2.0.3 以前は、グローバル設定フォームの AWS 秘密鍵をマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53655)
- Jenkins ReadyAPI Functional Testing プラグイン 1.11 以前では、SLM ライセンスアクセスキー、クライアントの秘密、およびパスワードは暗号化されていない状態で Jenkins コントローラーのジョブの config.xml ファイルに保存されているため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持つユーザーが表示できます。
(CVE-2025-53656)
- Jenkins ReadyAPI Functional Testing プラグイン 1.11 以前では、ジョブ設定フォームに表示される SLM ライセンスアクセスキー、クライアントの秘密、およびパスワードをマスクしないため、攻撃者がそれらを観察およびキャプチャする可能性が高くなります。(CVE-2025-53657)
- Jenkins Applitools Eyes プラグイン 1.16.5 以前では、ジョブ設定フォームに表示される Applitools API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53743)
- Jenkins QMetry Test Management プラグイン 1.13 以前は、暗号化されていない Qmetry Automation API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53659)
- Jenkins QMetry Test Management プラグイン 1.13 以前では、ジョブ設定フォームに表示される Qmetry Automation API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。
(CVE-2025-53660)
- Jenkins Testsigma Test Plan run プラグイン 1.6 以前では、ジョブ設定フォームに表示される Testsigma API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。
(CVE-2025-53661)
- Jenkins IFTTT Build Notifier プラグイン 1.2 以前は、暗号化されていない IFTTT Maker Channel キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53662)
- Jenkins IBM Cloud DevOps プラグイン 2.0.16 以前では、暗号化されていない SonarQube 認証トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53663)
- Jenkins Apica Loadtest プラグイン 1.10 以前では、暗号化されていない Apica Loadtest LTP 認証トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53664)
- Jenkins Apica Loadtest プラグイン 1.10 以前では、ジョブ設定フォームに表示される Apica Loadtest LTP 認証トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53665)
- Jenkins Dead Man's Snitch プラグイン 0.1 以前では、暗号化されていない Dead Man's Snitch トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53666)
- Jenkins Dead Man's Snitch プラグイン 0.1 以前では、ジョブ設定フォームに表示される Dead Man's Snitch トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53667)
- Jenkins VAddy プラグイン 1.2.8 以前は、暗号化されていない Vaddy API Auth キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53668)
- Jenkins VAddy Eyes プラグイン 1.2.8 以前では、ジョブ設定フォームに表示される Vaddy API Auth キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53669)
- Jenkins Nouvola DiveCloud プラグイン 1.08 以前は、暗号化されていない DiveCloud API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53670)
- Jenkins Nouvola DiveCloud プラグイン 1.08 以前では、ジョブ設定フォームに表示される DiveCloud API キーおよび認証情報暗号化キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53671)
- Jenkins Kryptowire プラグイン 0.2 以前では、Kryptowire API キーは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53672)
- Jenkins Sensedia Api Platform ツールプラグイン 1.0 以前では、Sensedia API Manager 統合トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53673)
- Jenkins Sensedia Api Platform ツールプラグイン 1.0 は、グローバル設定フォームの Sensedia API Manager 統合トークンをマスクしないため、攻撃者がこれを観察および取得する可能性が高まります。
(CVE-2025-53674)
- Jenkins Warrior Framework プラグイン 1.2 以前では、パスワードは暗号化されていない状態で Jenkins コントローラーのジョブの config.xml ファイルに保存されているため、Jenkins コントローラーファイルシステムへの Extended Read アクセス許可またはアクセス権を持つユーザーが表示できます。(CVE-2025-53675)
- Jenkins Xooa プラグイン 0.0.7 以前では、Xooa Deployment トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53676)
- Jenkins Xooa プラグイン 0.0.7 以前は、グローバル設定フォームの Xooa Deployment トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53677)
- Jenkins User1st uTester プラグイン 1.1 以前では、uTester JWT トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53678)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Jenkins プラグインを次のバージョンに更新してください。- Apica Loadtest プラグイン: ベンダーのアドバイザリを参照
- Applitools Eyes プラグインをバージョン 1.16.6 以降に更新
- Aqua Security Scanner プラグイン: ベンダーアドバイザリを参照してください
- 認証情報バインディングプラグインをバージョン 687.689.v1a_f775332fc9 以降に更新
-Dead Man's Snitch プラグイン: ベンダーアドバイザリを参照
- Git Parameter プラグインをバージョン 444.vca_b_84d3703c2 以降に更新
- HTML Publisher プラグインをバージョン 427 以降に更新
- IBM Cloud DevOps プラグイン: ベンダーアドバイザリを参照
- IFTTT Build Notifier プラグイン: ベンダーアドバイザリを参照
- Kryptowire プラグイン: ベンダーのアドバイザリを参照
- Nouvola DiveCloud プラグイン: ベンダーアドバイザリを参照
- QMetry Test Management プラグイン: ベンダーアドバイザリを参照
- ReadyAPI Functional Testing プラグイン: ベンダーアドバイザリを参照
- Sensedia Api Platform ツールプラグイン: ベンダーのアドバイザリを参照
- Statistics Gatherer プラグイン: ベンダーのアドバイザリを参照
- Testsigma Test Plan run プラグイン: ベンダーアドバイザリを参照
- User1st uTester プラグイン: ベンダーアドバイザリを参照
- VAddy プラグイン: ベンダーのアドバイザリを参照
- Warrior Framework プラグイン: ベンダーのアドバイザリを参照
- Xooa プラグイン: ベンダーのアドバイザリを参照
詳細については、ベンダーアドバイザリを参照してください。
参考資料
プラグインの詳細
深刻度: Medium
ID: 241693
ファイル名: jenkins_security_advisory_2025-07-09_plugins.nasl
バージョン: 1.1
タイプ: combined
エージェント: windows, macosx, unix
ファミリー: CGI abuses
公開日: 2025/7/10
更新日: 2025/7/10
サポートされているセンサー: Nessus Agent, Nessus
Enable CGI Scanning: true
リスク情報
VPR
リスクファクター: Medium
スコア: 5.0
CVSS v2
リスクファクター: High
基本値: 9
現状値: 6.7
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS スコアのソース: CVE-2025-53658
CVSS v3
リスクファクター: Medium
基本値: 6.5
現状値: 5.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2025-53742
脆弱性情報
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必要な KB アイテム: installed_sw/Jenkins
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/7/9
脆弱性公開日: 2025/7/9
参照情報
CVE: CVE-2025-53650, CVE-2025-53651, CVE-2025-53652, CVE-2025-53653, CVE-2025-53654, CVE-2025-53655, CVE-2025-53656, CVE-2025-53657, CVE-2025-53658, CVE-2025-53659, CVE-2025-53660, CVE-2025-53661, CVE-2025-53662, CVE-2025-53663, CVE-2025-53664, CVE-2025-53665, CVE-2025-53666, CVE-2025-53667, CVE-2025-53668, CVE-2025-53669, CVE-2025-53670, CVE-2025-53671, CVE-2025-53672, CVE-2025-53673, CVE-2025-53674, CVE-2025-53675, CVE-2025-53676, CVE-2025-53677, CVE-2025-53678, CVE-2025-53742, CVE-2025-53743