The remote web server hosts a version of Jenkins or Jenkins Enterprise that is affected by multiple vulnerabilities :

  - A flaw in the default markup formatter allows cross-site     scripting via the Description field in the user     configuration. (CVE-2013-5573)

  - A security bypass vulnerability allows remote     authenticated attackers to change configurations and     execute arbitrary jobs. (CVE-2013-7285, CVE-2013-7330,     CVE-2014-2058)

  - An unspecified flaw in the Winstone servlet allows     remote attackers to hijack sessions. (CVE-2014-2060)

  - An input control flaw in 'PasswordParameterDefinition'     allows remote attackers to disclose sensitive     information including passwords. (CVE-2014-2061)

  - A security bypass vulnerability due to API tokens not     being invalidated when a user is deleted.
    (CVE-2014-2062)

  - An unspecified flaw allows remote attackers to conduct     clickjacking attacks. (CVE-2014-2063)

  - An information disclosure vulnerability in the     'loadUserByUsername' function allows remote attackers     to determine whether a user exists via vectors related     to failed login attempts. (CVE-2014-2064)

  - A cross-site scripting vulnerability due to improper     input validation to the 'iconSize' cookie.
    (CVE-2014-2065)

  - A session fixation vulnerability allows remote attackers     to hijack web sessions. (CVE-2014-2066)

  - An information disclosure vulnerability in the 'doIndex'     function in 'hudson/util/RemotingDiagnostics.java'     allows remote authenticated users with the     'ADMINISTRATOR' permission to obtain sensitive     information via heapDump. (CVE-2014-2068)

リモート Web サーバーは、複数の脆弱性の影響を受けるバージョンの Jenkins または Jenkins Enterprise をホストします。

  -デファルトのマークアップフォーマッターの欠陥により、ユーザー構成内の説明フィールドを介して、クロスサイトスクリプティングが発生する可能性があります。（CVE-2013-5573）

  -セキュリティバイパスの脆弱性により、リモートの認証された攻撃者が構成を変更して、任意のジョブを実行する可能性があります。（CVE-2013-7285、CVE-2013-7330、CVE-2014-2058）

  -Winstone サーブレットの詳細不明な欠陥により、リモートの攻撃者がセッションをハイジャックする可能性があります。（CVE-2014-2060）

  -「PasswordParameterDefinition」の入力コントロールの欠陥により、リモートの攻撃者がパスワードを含む機密情報を漏洩する可能性があります。（CVE-2014-2061）

  - ユーザーが削除された際に API トークンが無効化されていないことによるセキュリティバイパスの脆弱性。
    （CVE-2014-2062）

  -詳細不明な欠陥により、リモートの攻撃者がクリックジャッキング攻撃を引き起こす可能性があります。（CVE-2014-2063）

  -「loadUserByUsername」関数での情報漏洩の脆弱性により、リモートの攻撃者がログインの失敗に関連するベクトルを通じて、ユーザーの存在の有無を割り出す可能性があります。（CVE-2014-2064）

  -「iconSize」クッキーへの不適切な入力検証による、クロスサイトスクリプティングの脆弱性。
    （CVE-2014-2065）

  - セッション固定の脆弱性により、リモートの攻撃者が Web セッションをハイジャックする可能性があります。（CVE-2014-2066）

  -「hudson/util/RemotingDiagnostics.java」の「doIndex」関数における情報漏洩の脆弱性により、「管理者」権限を有するリモートの認証されたユーザーがヒープダンプを介して、機密情報を取得する可能性があります。（CVE-2014-2068）

遠端網頁伺服器主控受到多個弱點影響的一個 Jenkins 或 Jenkins Enterprise 版本：

  - 預設標記格式器中存在一個缺陷，其允許透過使用者組態中的「Description」欄位，發動跨網站指令碼攻擊。(CVE-2013-5573)

  - 存在一個安全性繞過弱點，其允許經過驗證的遠端攻擊者變更組態，並執行任意工作。(CVE-2013-7285、CVE-2013-7330、CVE-2014-2058)

  - Winstone servlet 中存在一個不明缺陷，其允許遠端攻擊者劫持工作階段。(CVE-2014-2060)

  - PasswordParameterDefinition 中存在一個輸入控制缺陷，其允許遠端攻擊者洩漏密碼等敏感資訊。(CVE-2014-2061)

  - 因為在刪除使用者時，未使 API token 失效所導致的一個安全性繞過弱點。
    (CVE-2014-2062)

  - 存在一個不明缺陷，其允許遠端攻擊者進行點擊劫持攻擊。(CVE-2014-2063)

  - loadUserByUsername 函式中存在一個資訊洩漏弱點，其允許遠端攻擊者透過與登入嘗試失敗相關的向量，判斷某個使用者是否存在。(CVE-2014-2064)

  - 因為對 'iconSize' cookie 的不當輸入驗證而導致的一個跨網站指令碼弱點。
    (CVE-2014-2065)

  - 存在一個工作階段固定弱點，其允許遠端攻擊者劫持 Web 工作階段。(CVE-2014-2066)

  - hudson/util/RemotingDiagnostics.java 之 doIndex 函式中存在一個資訊洩漏弱點，其允許擁有「系統管理員」權限之經過驗證的遠端使用者透過 heapDump 取得敏感資訊。(CVE-2014-2068)

远程 Web 服务器托管受多种漏洞影响的 Jenkins 或 Jenkins Enterprise 版本：

  - 默认标记格式化程序中存在缺陷，攻击者可利用此漏洞，通过用户配置中的描述字段，构造跨站脚本。(CVE-2013-5573)

  - 存在一个安全绕过漏洞，经过身份验证的远程攻击者可利用此漏洞，更改配置和执行任意作业。（CVE-2013-7285、CVE-2013-7330、CVE-2014-2058）

  - Winstone servlet 中存在一个不明缺陷，远程攻击者可利用此漏洞，劫持会话。(CVE-2014-2060)

  - “PasswordParameterDefinition”中存在一个输入控制缺陷，远程攻击者可利用此漏洞，泄露敏感信息（包括密码）。(CVE-2014-2061)

  - 由于删除了用户时不使 API 标记失效导致的安全绕过漏洞。
    (CVE-2014-2062)

  - 存在一个不明缺陷，远程攻击者可利用此漏洞，进行点击劫持攻击。(CVE-2014-2063)

  - “loadUserByUsername”函数中存在信息泄露漏洞，远程攻击者可利用此漏洞，通过与失败登录尝试相关的向量，确定是否存在某个用户。(CVE-2014-2064)

  - 由于对“iconSize”cookie 的输入验证不正确造成的跨站脚本漏洞。
    (CVE-2014-2065)

  - 存在一个会话固定漏洞，远程攻击者可利用此漏洞，劫持 Web 会话。(CVE-2014-2066)

  - “hudson/util/RemotingDiagnostics.java”的“doIndex”函数中存在信息泄露漏洞，经过身份验证且具有“ADMINISTRATOR”权限的远程用户可利用此漏洞，通过 heapDump 获取敏感信息。(CVE-2014-2068)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
72685	Jenkins < 1.551 / 1.532.2 and Jenkins Enterprise 1.509.x / 1.532.x < 1.509.5.1 / 1.532.2.2 Multiple Vulnerabilities	Nessus	CGI abuses	2014/2/25	2024/6/5	high
72685	Jenkins < 1.551/1.532.2 と Jenkins Enterprise 1.509.x/1.532.x < 1.509.5.1/1.532.2.2 複数の脆弱性	Nessus	CGI abuses	2014/2/25	2024/6/5	high
72685	Jenkins < 1.551 / 1.532.2 和 Jenkins Enterprise 1.509.x / 1.532.x < 1.509.5.1 / 1.532.2.2 多個弱點	Nessus	CGI abuses	2014/2/25	2024/6/5	high
72685	Jenkins < 1.551 / 1.532.2 和 Jenkins Enterprise 1.509.x / 1.532.x < 1.509.5.1 / 1.532.2.2 多种漏洞	Nessus	CGI abuses	2014/2/25	2024/6/5	high

検出

プラグインの検索

high

high

high

high