リモートのRedhat Enterprise Linux 7/8ホストにインストールされているパッケージは、RHSA-2021：2437のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  -python-eventlet：高度に圧縮されたデータの不適切な処理と過剰なサイズのメモリ割り当てにより、DoSが発生します（CVE-2021-21419）

  - jenkins-2-plugins/matrix-auth: Matrix Authorization Strategy Pluginでの不適切な権限チェック（CVE-2021-21623）

  - jenkins: エージェント関連のREST APIにおける型検証の欠如（CVE-2021-21639）

  - jenkins: ビュー名検証バイパス（CVE-2021-21640）

  - jenkins-2-plugins/credentials: Credentials Pluginにおける折り返し型XSSの脆弱性（CVE-2021-21648）

  - kubernetes：Validating Admission Webhookは一部以前のフィールドをチェックしません（CVE-2021-25735）

  - kubernetes：EndpointSlice検証における穴によりネットワークのハイジャックが可能になります（CVE-2021-25737）

  - golang：crypto/elliptic：P-224曲線での不適切な操作（CVE-2021-3114）

  -gogo / protobuf：plugin / unmarshal / unmarshal.goに特定のインデックス検証がありません（CVE-2021-3121）

  - openshift: 注入されたservice-ca.crtが追加の内部のCAを誤って含んでいます（CVE-2021-3636）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Web サーバーで実行されている Jenkins Enterprise または Jenkins Operations Center のバージョンは、2.222.43.0.4 より前の 2.222.x、2.249.30.0.4 より前の 2.249.x、および 2.277.2.3 より前の 2.x です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Micro Focus Application Automation Tools プラグインの折り返し型 XSS の脆弱性 - Jenkins プラグイン。この脆弱性は、バージョン 6.7 以前のすべてのバージョンに影響を与えます。(CVE-2021-22510)

  - Micro Focus Application Automation Tools プラグインの不適切な証明書検証の脆弱性 - Jenkins プラグイン。この脆弱性は、バージョン 6.7 以前のバージョンに影響を与えます。この脆弱性により、SSL/TLS 証明書を無条件で無効にする可能性があります。(CVE-2021-22511)

  - Micro Focus Application Automation Tools プラグインのクロスサイトリクエスト偽造 (CSRF) の脆弱性 - Jenkins プラグイン。この脆弱性は、バージョン 6.7 以前のバージョンに影響を与えます。この脆弱性により、権限チェックなしでフォームが検証される可能性があります。(CVE-2021-22512)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているJenkinsのバージョンは、2.277.2より前のJenkins LTSまたは2.287より前のJenkins weeklyです。そのため、以下の複数の脆弱性の影響を受けます。

  - Jenkins 2.286以前、LTS 2.277.1以前では、ノードの`config.xml` REST APIエンドポイントに送信されたデータをロードした後に作成されたオブジェクトの種類を検証しません。これにより、異なるタイプの1つでコンピューター/設定の権限を持つ攻撃者がノードを交換することができます。（CVE-2021-21639）

  - Jenkins 2.286以前、LTS 2.277.1以前では、新しく作成されたビューが許可された名前を持っていることを適切にチェックしません。これにより、表示/作成権限を持つ攻撃者が既に使用されている名前が付いたビューを作成することができます。（CVE-2021-21640）

  - Jenkinsプロモートビルドプラグイン3.9以前のクロスサイトリクエスト偽造（CSRF）の脆弱性により、攻撃者がビルドをプロモートする可能性があります。（CVE-2021-21641）     
  - Micro Focus Application Automation Toolsプラグインの不適切な証明書検証の脆弱性 - Jenkinsプラグイン。この脆弱性は、バージョン6.7以前のバージョンに影響を与えます。この脆弱性により、SSL/TLS証明書を無条件で無効にする可能性があります。（CVE-2021-22511）     
  - Micro Focus Application Automation Toolsプラグインのクロスサイトリクエスト偽造（CSRF）の脆弱性 - Jenkinsプラグイン。この脆弱性は、バージョン6.7以前のバージョンに影響を与えます。この脆弱性により、権限チェックなしでフォームが検証される可能性があります。（CVE-2021-22512）     
  - Micro Focus Application Automation Toolsプラグインの認証の欠落の脆弱性 - Jenkinsプラグイン。この脆弱性は、バージョン6.7以前のバージョンに影響を与えます。この脆弱性により、権限チェックなしでアクセスされる可能性があります。（CVE-2021-22513）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 7 / 8ホストにインストールされているパッケージは、RHSA-2021：1551アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - golang：math / big：非常に大きな数の再帰的除算中のパニック（CVE-2020-28362）

  - jenkins: エージェント関連のREST APIにおける型検証の欠如（CVE-2021-21639）

  - jenkins: ビュー名検証バイパス（CVE-2021-21640）

  - jetty：シンボリックリンクディレクトリがwebappディレクトリの内容を公開します（CVE-2021-28163）

  - jetty：無効で大きなTLSフレームを受信した際のリソース枯渇（CVE-2021-28165）

  - golang：crypto/elliptic：P-224カーブでの不適切な操作 (CVE-2021-3114)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
152103	RHEL 7/8：OpenShift Container Platform 4.8.2パッケージおよび（RHSA-2021：2437)	Nessus	Red Hat Local Security Checks	2021/7/27	2024/6/3	high
155586	Jenkins Enterprise および Operations Center < 2.222.43.0.4/2.249.30.0.4/2.277.2.3 の複数の脆弱性 (CloudBees セキュリティアドバイザリ 2021 年 4 月 7 日)	Nessus	CGI abuses	2021/11/18	2024/6/4	medium
148418	Jenkins LTS < 2.277.2 / Jenkins weekly < 2.287の複数の脆弱性	Nessus	CGI abuses	2021/4/9	2024/6/5	medium
149793	RHEL 7/8：OpenShift Container Platform 4.7.11 (RHSA-2021：1551)	Nessus	Red Hat Local Security Checks	2021/5/20	2024/6/3	medium

検出

プラグインの検索

high

medium

medium

medium