CVE-2016-3721、CVE-2016-3722、CVE-2016-3723、CVE-2016-3724、CVE-2016-3725、CVE-2016-3726、CVE-2016-3727 に対するセキュリティ修正

注意：Tenable Network Security は、前述の説明ブロックを Fedora 更新システム Web サイトから直接抽出しています。
Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2016:1773 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache HttpComponents クライアント/Apache CXF: SSL ホスト名検証バイパス、不完全な CVE-2012-6153 の修正 (CVE-2014-3577)

  - apache-commons-collections: 逆シリアル化中の InvokerTransformer コードの実行 (CVE-2015-7501)

  - jenkins: リモート処理モジュールのリモートコード実行の脆弱性 (SECURITY-232) (CVE-2016-0788)

  - jenkins: HTTP 応答分割の脆弱性 (SECURITY-238) (CVE-2016-0789)

  - jenkins: API トークンの非一定の時間比較 (SECURITY-241) (CVE-2016-0790)

  - jenkins: CSRF crumbs の非一定の時間比較 (SECURITY-245) (CVE-2016-0791)

  - jenkins: リモート API を通じたリモートコードの実行 (SECURITY-247) (CVE-2016-0792)

  - jenkins: 任意のビルドパラメーターが、環境変数としてビルドスクリプトに渡されます (SECURITY-170) (CVE-2016-3721)

  - jenkins: 悪意のあるユーザーが複数のユーザーアカウントを持ち、他のユーザーのログインを妨げる可能性があります (SECURITY-243) (CVE-2016-3722)

  - jenkins: API を介して漏洩される、インストールされているプラグインに関する情報 (SECURITY-250) (CVE-2016-3723)

  - jenkins: 暗号化されたシークレット (パスワードなど) が、構成を読み取る権限を持つユーザーに漏洩されていました (SECURITY-266) (CVE-2016-3724)

  - jenkins: 一般ユーザーが、更新サイトメタデータのダウンロードをトリガーする可能性があります (SECURITY-273) (CVE-2016-3725)

  - jenkins: スキーム相対 URL へのオープンリダイレクト (SECURITY-276) (CVE-2016-3726)

  - jenkins: ノード構成を読み取るアクセス許可を付与すると、全体的なシステム構成へのアクセスが可能になります (SECURITY-281) (CVE-2016-3727)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Jenkins セキュリティアドバイザリ：説明 SECURITY-170/CVE-2016-3721 スクリプトを構築するために、任意のビルドパラメーターが環境変数として渡されます SECURITY-243/CVE-2016-3722 複数のユーザーアカウントを持つ悪意のあるユーザーは、その他のユーザーにログインさせないようにする可能性があります SECURITY-250/CVE-2016-3723 インストールされたプラグインでの情報が API を通じて漏洩しました SECURITY-266/CVE-2016-3724 暗号化された機密情報（パスワードなど）が、構成を読み取る権限があるユーザーに漏洩されました SECURITY-273/CVE-2016-3725 正規のユーザーは、更新サイトのメタデータをダウンロードするように誘導する可能性があります SECURITY-276/CVE-2016-3726 スキーマ関連 URL へのオープンなリダイレクト SECURITY-281/CVE-2016-3727 ノード構成を読み取る権限を与えることで、システム構成全体にアクセスできるようになります

セキュリティ修正を含む更新済みのJenkinsパッケージとイメージが、Red Hat OpenShift Enterprise 3.2で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。Jenkinsは、ソフトウェアプロジェクトのビルドやcronによって実行されるジョブなど、繰り返し実行されるジョブの実行を監視する継続的統合サーバーです。セキュリティ修正プログラム：* Jenkins Continuous Integration Serverは、オープンリダイレクト、サービス拒否の可能性、ユーザーから提供された環境変数の安全でない処理、秘密情報漏えいのいくつかの例など、多数のセキュリティ問題に対処するUpstreamバージョン1.651.2 LTSに更新されました。（CVE-2016-3721、CVE-2016-3722、CVE-2016-3723、CVE-2016-3724、CVE-2016-3725、CVE-2016-3726、CVE-2016-3727）変更のリストについては、「参照」セクションに記載されている変更ログを参照してください。この更新には、次のイメージが含まれています：openshift3/jenkins-1-rhel7:1.651.2-4：OpenShift Enterprise 3.2のすべてのユーザーは、更新済みパッケージとイメージにアップグレードすることが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
92215	Fedora 24：jenkins（2016-fd6100dd68）	Nessus	Fedora Local Security Checks	2016/7/14	2021/1/11	high
92210	Fedora 22：jenkins（2016-f7e7a6067d）	Nessus	Fedora Local Security Checks	2016/7/14	2021/1/11	high
119378	RHEL 6 : Red Hat OpenShift Enterprise 2.2.10 (RHSA-2016:1773)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/4/21	critical
92131	Fedora 23：jenkins（2016-9ba53cf8a2）	Nessus	Fedora Local Security Checks	2016/7/14	2021/1/11	high
91066	FreeBSD：jenkins -- 複数の脆弱性（e387834a-17ef-11e6-9947-7054d2909b71）	Nessus	FreeBSD Local Security Checks	2016/5/12	2021/1/4	high
119375	RHEL 7：jenkins（RHSA-2016:1206）	Nessus	Red Hat Local Security Checks	2018/12/4	2022/2/1	high

検出

プラグインの検索

high

high

critical

high

high

high