Jenkins チームの Kohsuke Kawaguchi 氏による報告：

歴史的に見て、Jenkins のマスターとスレーブは、単一のディストリビューションプロセスを共に形成するかのような動作をしました。これは、スレーブがマスターにオペレーティングシステムの制限の範囲の中であれば、何でも実行するようにリクエストできることを意味しています。これには、マスターのファイルにアクセスしたり、Jenkins の他のジョブをトリガーしたりすることも含まれます。

これは重大な問題となっています。規模の比較的大きい企業の展開では、もっと洗練された信頼の分離モデルが開発され、マスターの管理者が他のチームが所有するスレーブを取り扱うことがあるからです。このような環境では、スレーブはマスターより信頼されていません。しかし、「単一の分散プロセス」の前提条件がユーザーにうまく伝わっていなかったため、一部の展開で脆弱性が発生していました。

SECURITY-144（CVE-2014-3665）は、新しいサブシステムを導入し、この問題に対処します。互換性が原因のため、この機能はデフォルトでオフになっています。どんなユーザーがこれをオンすべきなのか、そしてその意味あいについて確認したい場合は、Wiki の詳細情報を参照してください。

CVE-2014-3566 は「高」とレーティングされています。これは、信頼されていないコンピューターからスレーブを受け入れるインストールにしか影響を与えません。しかし、これにより、そのようなスレーブの所有者が Jenkins にリモートコードの実行攻撃を仕掛ける可能性があります。

検出

FreeBSD：jenkins -- スレーブにより発生するマスターサーバーにおける任意コードの実行（0dad9114-60cc-11e4-9e84-0022156e8794）

medium Nessus プラグイン ID 78815

変更ログが見つかりません