修正：CVE-2016-0788、CVE-2016-0789、CVE-2016-0790、CVE-2016-0791、CVE-2016-0792

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

- Groovy ライブラリ、具体的には runtime.MethodClosure クラスへの認証されていない Java オブジェクトの安全でない逆シリアル化コールのために、リモートホストで実行されている Jenkins Web サーバーが、リモートコードの実行の脆弱性の影響を受けます。認証されていないリモートの攻撃者は、細工された XML ファイルを通じて、これを悪用して、ターゲットホストで任意のコードを実行する可能性があります。

注意：Jenkins Web サーバーは他の脆弱性にも影響を受ける可能性がありますが、Nessus ではそれらをテストしていません。

CVE-2016-0788、CVE-2016-0789、CVE-2016-0790、CVE-2016-0791、CVE-2016-0792、および潜在的な NoClassDefFoundError：
org/codehaus/stax2/XMLInputFactory2 例外バグ。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

セキュリティ修正を含む更新済みのJenkinsパッケージとイメージが、Red Hat OpenShift Enterprise 3.1で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。Jenkinsは、ソフトウェアプロジェクトのビルドやcronによって実行されるジョブなど、繰り返し実行されるジョブの実行を監視する継続的統合サーバーです。セキュリティ修正プログラム：Jenkins Continuous Integration Serverは、XSS、CSRF、情報漏えい、コードの実行を含む多数のセキュリティ問題に対処するUpstreamバージョン1.642.2 LTSに更新されました。（CVE-2016-0788、CVE-2016-0789、CVE-2016-0790、CVE-2016-0791、CVE-2016-0792）変更のリストについては、「参照」セクションに記載されている変更ログを参照してください。この更新には、次のイメージが含まれています：openshift3/jenkins-1-rhel7:1.642-30 OpenShift Enterprise 3.1のすべてのユーザーは、更新済みパッケージとイメージにアップグレードすることが推奨されます。

リモート Web サーバーが 1.650 より前の Jenkins のバージョン、1.642.2 より前の Jenkins LTS のバージョン、1.642.2.1 より前の 1.642.x.y、1.625.16.1 より前の 1.625.x.y、1.609.16.1 より前の 1.609.x.y の Jenkins Enterprise のバージョンをホストしています。したがって、次の脆弱性の影響を受けます：

  - Jenkins リモーティングモジュールに、詳細不明な欠陥が存在します。認証されていないリモートの攻撃者が、これを悪用して、Jenkins マスタープロセスをホストしているサーバーで JRMP リスナーを開き、任意のコードを実行する可能性があります。（CVE-2016-0788）

  - CRLF シーケンスが不適切にサニタイズされているため、main/java/hudson/cli/CLIAction.java に欠陥が存在します。これらのシーケンスは、HTTP 応答に含まれる前に、CLI コマンド名を通じて受け渡されます。認証されていないリモートの攻撃者が、細工された Jenkins URL を通じて、これを悪用して、HTTP 応答分割攻撃を実行する可能性があります。（CVE-2016-0789）

  - ユーザー指定の API トークンの検証が、一定時間比較のアルゴリズムを使用しません。認証されていないリモートの攻撃者が、統計メソッドを通じて、これを悪用し、有効な API トークン特定し、ブルートフォース攻撃によりユーザー証明書へアクセスする可能性があります。（CVE-2016-0790）

  - ユーザー指定の XSRF crumb の検証が、一定時間比較のアルゴリズムを使用しません。認証されていないリモートの攻撃者が、統計メソッドを通じて、これを悪用し、有効な XSRF crumb を特定し、ブルートフォース攻撃によりクロスサイトリクエスト偽造の保護メカニズムをバイパスする可能性があります。
    （CVE-2016-0791）

  - Commons Collections ライブラリへの認証されていない Java オブジェクトの逆シリアル化呼び出しが安全ではないため、groovy.runtime.MethodClosure クラスに欠陥が存在します。認証されたリモートの攻撃者が、細工された XML ファイルを特定の API エンドポイントに投稿することで、これを悪用して、任意のコードを実行する可能性があります。（CVE-2016-0792）

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2016:1773 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache HttpComponents クライアント/Apache CXF: SSL ホスト名検証バイパス、不完全な CVE-2012-6153 の修正 (CVE-2014-3577)

  - apache-commons-collections: 逆シリアル化中の InvokerTransformer コードの実行 (CVE-2015-7501)

  - jenkins: リモート処理モジュールのリモートコード実行の脆弱性 (SECURITY-232) (CVE-2016-0788)

  - jenkins: HTTP 応答分割の脆弱性 (SECURITY-238) (CVE-2016-0789)

  - jenkins: API トークンの非一定の時間比較 (SECURITY-241) (CVE-2016-0790)

  - jenkins: CSRF crumbs の非一定の時間比較 (SECURITY-245) (CVE-2016-0791)

  - jenkins: リモート API を通じたリモートコードの実行 (SECURITY-247) (CVE-2016-0792)

  - jenkins: 任意のビルドパラメーターが、環境変数としてビルドスクリプトに渡されます (SECURITY-170) (CVE-2016-3721)

  - jenkins: 悪意のあるユーザーが複数のユーザーアカウントを持ち、他のユーザーのログインを妨げる可能性があります (SECURITY-243) (CVE-2016-3722)

  - jenkins: API を介して漏洩される、インストールされているプラグインに関する情報 (SECURITY-250) (CVE-2016-3723)

  - jenkins: 暗号化されたシークレット (パスワードなど) が、構成を読み取る権限を持つユーザーに漏洩されていました (SECURITY-266) (CVE-2016-3724)

  - jenkins: 一般ユーザーが、更新サイトメタデータのダウンロードをトリガーする可能性があります (SECURITY-273) (CVE-2016-3725)

  - jenkins: スキーム相対 URL へのオープンリダイレクト (SECURITY-276) (CVE-2016-3726)

  - jenkins: ノード構成を読み取るアクセス許可を付与すると、全体的なシステム構成へのアクセスが可能になります (SECURITY-281) (CVE-2016-3727)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
90011	Fedora 22：jenkins-1.609.3-6.fc22 / jenkins-remoting-2.53.3-1.fc22（2016-0f490eea10）	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
89034	1.642.2/1.650 より前の Jenkins における Java オブジェクト逆シリアル化 RCE	Nessus	General	2016/2/29	2024/6/5	high
90014	Fedora 23：jenkins-1.625.3-3.fc23 / jenkins-remoting-2.53.3-1.fc23（2016-641c8b4eb2）	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
119370	RHEL 7：jenkins（RHSA-2016:0711）	Nessus	Red Hat Local Security Checks	2018/12/4	2019/10/24	critical
89925	1.642.2/1.650 より前の Jenkins および 1.609.16.1/1.625.16.1/1.642.2.1 より前の Jenkins Enterprise における複数の脆弱性	Nessus	CGI abuses	2016/3/14	2024/6/5	critical
119378	RHEL 6 : Red Hat OpenShift Enterprise 2.2.10 (RHSA-2016:1773)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/6/3	critical

検出

プラグインの検索

high

high

high

critical

critical

critical