According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Jenkins Script Security Plugin 1367.vdf2fc45f229c and earlier, except 1365.1367.va_3b_b_89f8a_95b_ and     1362.1364.v4cf2dc5d8776, does not perform a permission check in a method implementing form validation,     allowing attackers with Overall/Read permission to check for the existence of files on the controller file     system. (CVE-2024-52549)

  - Jenkins Pipeline: Groovy Plugin 3990.vd281dd77a_388 and earlier, except 3975.3977.v478dd9e956c3 does not     check whether the main (Jenkinsfile) script for a rebuilt build is approved, allowing attackers with     Item/Build permission to rebuild a previous build whose (Jenkinsfile) script is no longer approved.
    (CVE-2024-52550)

  - Jenkins Pipeline: Declarative Plugin 2.2214.vb_b_34b_2ea_9b_83 and earlier does not check whether the main     (Jenkinsfile) script used to restart a build from a specific stage is approved, allowing attackers with     Item/Build permission to restart a previous build whose (Jenkinsfile) script is no longer approved.
    (CVE-2024-52551)

  - Jenkins Authorize Project Plugin 1.7.2 and earlier evaluates a string containing the job name with     JavaScript on the Authorization view, resulting in a stored cross-site scripting (XSS) vulnerability     exploitable by attackers with Item/Configure permission. (CVE-2024-52552)

  - Jenkins OpenId Connect Authentication Plugin 4.418.vccc7061f5b_6d and earlier does not invalidate the     previous session on login. (CVE-2024-52553)

  - Improper Restriction of XML External Entity Reference, XML Injection (aka Blind XPath Injection)     vulnerability in Apache Software Foundation Apache Ivy.This issue affects any version of Apache Ivy prior     to 2.5.2. When Apache Ivy prior to 2.5.2 parses XML files - either its own configuration, Ivy files or     Apache Maven POMs - it will allow downloading external document type definitions and expand any entity     references contained therein when used. This can be used to exfiltrate data, access resources only the     machine running Ivy has access to or disturb the execution of Ivy in different ways. Starting with Ivy     2.5.2 DTD processing is disabled by default except when parsing Maven POMs where the default is to allow     DTD processing but only to include a DTD snippet shipping with Ivy that is needed to deal with existing     Maven POMs that are not valid XML files but are nevertheless accepted by Maven. Access can be be made more     lenient via newly introduced system properties where needed. Users of Ivy prior to version 2.5.2 can use     Java system properties to restrict processing of external DTDs, see the section about JAXP Properties for     External Access restrictions inside Oracle's Java API for XML Processing (JAXP) Security Guide.
    (CVE-2022-46751)

  - Jenkins Shared Library Version Override Plugin 17.v786074c9fce7 and earlier declares folder-scoped library     overrides as trusted, so that they're not executed in the Script Security sandbox, allowing attackers with     Item/Configure permission on a folder to configure a folder-scoped library override that runs without     sandbox protection. (CVE-2024-52554)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins Script セキュリティプラグイン 1367.vdf2fc45f229c 以前 (1365.1367.va_3b_b_89f8a_95b_ と 1362.1364.v4cf2dc5d8776 を除く) が、フォーム検証を実装するメソッドで権限チェックを実行しません。これにより、全体的/読み取りアクセス許可を持つ攻撃者が、コントローラーファイルシステム上の存在のファイルの存在をチェックする可能性があります。(CVE-2024-52549)

  - Jenkins パイプライン: Groovy プラグイン 3990.vd281dd77a_388 およびそれ以前 ( 3975.3977.v478dd9e956c3 を除く) が、再構築されたビルドのメイン (Jenkinsfile) スクリプトが承認されているかどうかをチェックしません。これにより、アイテム / ビルドアクセス許可を持つ攻撃者が、(Jenkinsfile) スクリプトが承認されなくなった以前のビルドを再構築する可能性があります。
    (CVE-2024-52550)

  - Jenkins パイプライン: 宣言型プラグイン 2.2214.vb_b_34b_2ea_9b_83 およびそれ以前が、特定の段階からビルドを再開するのに使用されるメイン (Jenkinsfile) スクリプトが承認されているかどうかをチェックしません。これにより、アイテム / ビルドアクセス許可を持つ攻撃者が、(Jenkinsfile) スクリプトが承認されなくなった以前のビルドを再構築する可能性があります。
    (CVE-2024-52551)

  - Jenkins Authorize Project プラグイン 1.7.2 およびそれ以前は、承認ビューの JavaScript でジョブ名を含む文字列を評価します。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、アイテム / 設定アクセス許可を持つ攻撃者がこれを悪用する可能性があります。(CVE-2024-52552)

  - Jenkins OpenId Connect Authentication プラグイン 4.418.vccc7061f5b_6d およびそれ以前では、ログイン時に既存のセッションが無効化されません。(CVE-2024-52553)

  - Apache Software Foundation Apache Ivy において、XML 外部エンティティ参照の不適切な制限、XML インジェクション (別名: Blind XPath インジェクション) の脆弱性が存在します。この問題は、2.5.2 より前のすべてのバージョンの Apache Ivy に影響します。2.5.2 以前の Apache Ivy が XML ファイル (自身の構成、Ivy ファイル、または Apache Maven POM のいずれか) を解析する場合、外部ドキュメントタイプ定義をダウンロードでき、使用時にそこに含まれるエンティティ参照を展開します。これが、データの盗取、Ivy を実行しているマシンのみがアクセスできるリソースへのアクセス、またはさまざまな方法で Ivy の実行を妨げるために使用される可能性があります。Ivy 2.5.2 以降では、DTD 処理は Maven POM の解析時を除き、デフォルトで無効になりました。この DTD 処理は、Ivy に付属する DTD スニペットのみを含めることができます。これは、有効な XML ファイルではないものの、Maven によって受け入れられる既存の Maven POM を処理するために必要です。必要に応じて、新しく導入されたシステムプロパティを使用して、アクセスをより寛大にできます。バージョン 2.5.2 より前の Ivy のユーザーは、Java システムプロパティを使用して、外部 DTD の処理を制限できます。Oracle の [Java API for XML Processing (JAXP) セキュリティガイド] の [外部アクセス制限に関する JAXP プロパティ] セクションを参照してください。
    (CVE-2022-46751)

  - Jenkins 共有ライブラリバージョンオーバーライドプラグイン 17.v786074c9fce7 およびそれ以前は、フォルダースコープのライブラリオーバーライドを信頼できるものとして宣言し、Script Security サンドボックスで実行されないようにします。これにより、フォルダーでアイテム / 設定アクセス許可を持つ攻撃者が、サンドボックス保護なしで実行されるフォルダースコープのライブラリオーバーライドを設定する可能性があります。(CVE-2024-52554)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - Jenkins Script Security Plugin1367.vdf2fc45f229c 和更舊版本 (1365.1367.va_3b_b_89f8a_95b_ 和 1362.1364.v4cf2dc5d8776 除外) 未在實作表單驗證的方法中執行權限檢查，進而能讓具有 Overall/Read 權限的攻擊者檢查控制器檔案系統上是否存在檔案。(CVE-2024-52549)

  - Jenkins Pipeline：Groovy Plugin 3990.vd281dd77a_388 和更舊版本 (3975.3977.v478dd9e956c3 除外) 未檢查重建版本的主要 (Jenkinsfile) 指令碼是否已獲核准，進而能讓具有 Item/Build 權限的攻擊者重建其 (Jenkinsfile) 指令碼的先前版本不再核准。
    (CVE-2024-52550)

  - Jenkins Pipeline：Declarative Plugin 2.2214.vb_b_34b_2ea_9b_83 和更舊版本未檢查用於從特定階段進行重建的主要 (Jenkinsfile) 指令碼是否已獲核准，進而能讓具有 Item/Build 權限的攻擊者重建其 (Jenkinsfile) 指令碼的先前版本不再核准。
    (CVE-2024-52551)

  - Jenkins Authorize Project Plugin 1.7.2 及更早版本會評估授權檢視上包含具有 JavaScript 作業名稱的字串，因而會導致具有「Job/Configure」權限的攻擊者可利用的儲存型跨網站指令碼 (XSS) 弱點。(CVE-2024-52552)

  - Jenkins OpenId Connect Authentication Plugin 4.418.vccc7061f5b_6d 及更早版本不會在登入時使之前的工作階段失效。(CVE-2024-52553)

  - Apache Software Foundation Apache Ivy 中存在不當限制 XML 外部實體參照弱點，即 XML 插入 (又名盲目式 XPath 插入) 弱點。此問題會影響 2.5.2 之前的所有 Apache Ivy 版本。2.5.2 版之前的 Apache Ivy 在剖析 XML 檔案 (其本身的組態、Ivy 檔案或 Apache Maven POM) 時，將允許下載外部文件類型定義，並在使用時展開其中包含的任何實體參照。該弱點可用於洩漏資料、存取僅執行 Ivy 的機器可存取的資源，或以不同方式乾擾 Ivy 的執行。從 Ivy 2.5.2 版開始，DTD 處理會依預設停用，剖析 Maven POM 時除外，預設的行為是允許 DTD 處理，但僅包含 Ivy 隨附的 DTD 程式碼片段，該片段是處理現有 Maven POM 所必需的片段，但其不是有效的 XML 檔案，不過仍會被 Maven 接受 。必要時，可透過新引入的系統內容，使存取權更寬鬆。2.5.2 版之前的 Ivy 使用者可使用 Java 系統屬性來限制外部 DTD 的處理，詳情請參閱《Oracle Java API for XML Processing (JAXP) 安全性指南》中關於外部存取 JAXP 屬性限制一節。
    (CVE-2022-46751)

  - Jenkins Shared Library Version Override Plugin 17.v786074c9fce7 和更舊版本將資料夾範圍的程式庫覆寫宣告為受信任，因此這些程式庫覆寫不會在指令碼安全性沙箱中執行，進而允許對資料夾具有項目/組態權限的攻擊者設定資料夾範圍的程式庫覆寫在沒有沙箱保護的情況下執行的程式庫覆寫。(CVE-2024-52554)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins 脚本安全插件 1367.vdf2fc45f229c 和更早版本（1365.1367.va_3b_b_89f8a_95b_ 和 1362.1364.v4cf2dc5d8776 除外）不在实现表单验证的方法中执行权限检查，这能让具有 Overall/Read 权限的攻击者检查控制器文件系统上是否存在文件。(CVE-2024-52549)

  - Jenkins 管道：Groovy 插件 3990.vd281dd77a_388 和更早版本（3975.3977.v478dd9e956c3 除外）不会检查用于重建版本的主 (Jenkinsfile) 脚本是否经过批准，这能让具有 Item/Build 权限的攻击者重建之前的版本，其 (Jenkinsfile) 脚本不再获批准。
    (CVE-2024-52550)

  - Jenkins 管道：Declarative 插件 2.2214.vb_b_34b_2ea_9b_83 和更早版本不会检查用于重建特定阶段的主要 (Jenkinsfile) 脚本是否经过批准，这能让具有 Item/Build 权限的攻击者重建之前的版本，其 (Jenkinsfile) 脚本不再获批准。
    (CVE-2024-52551)

  - Jenkins Authorize Project 插件 1.7.2 及更早版本评估包含在 Authorization 上具有 JavaScript 的作业名称的字符串，导致存在存储型跨站脚本 (XSS) 漏洞，具有“项目/配置”权限的攻击者可利用此漏洞。(CVE-2024-52552)

  - Jenkins OpenId Connect 身份验证插件 4.418.vccc7061f5b_6d 及更早版本在登录时不会使之前的会话无效。(CVE-2024-52553)

  - Apache Software Foundation Apache Ivy 中存在不当限制 XML 外部实体引用、XML 注入（又称盲目 XPath 注入）漏洞。此问题会影响 Apache Ivy 2.5.2 之前的所有版本。Apache Ivy 2.5.2 之前的版本在解析 XML 文件时（其自身的配置、Ivy 文件或 Apache Maven POM），将允许下载外部文档类型定义，并在使用时展开其中包含的任何实体引用。攻击者可利用此漏洞泄露数据，访问仅运行 Ivy 的计算机可以访问的资源，或以不同方式干扰 Ivy 的执行。Ivy 2.5.2 及更高版本在默认情况下禁用 DTD 处理，但在解析 Maven POM 时除外，此时的默认设置为允许 DTD 处理，但仅包含随附 Ivy 的 DTD 片段，该片段可用于处理现有 Maven POM（无效的 XML 文件，但仍被 Maven 接受）。如果需要，可以通过新引入的系统属性来放宽访问权限。Ivy 2.5.2 之前版本的用户可以使用 Java 系统属性来限制外部 DTD 的处理，请参阅《Oracle Java API for XML Processing (JAXP) 安全指南》中有关外部访问的 JAXP 属性限制部分。
    (CVE-2022-46751)

  - Jenkins 共享库版本覆盖插件 17.v786074c9fce7 和更早版本将文件夹范围的库替代声明为受信任，使其不会在脚本安全沙盒中执行，从而允许在文件夹上具有项目/配置权限的攻击者配置文件夹范围的库在没有沙盒保护的情况下运行的库替代。(CVE-2024-52554)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
210929	Jenkins plugins Multiple Vulnerabilities (2024-11-13)	Nessus	CGI abuses	2024/11/13	2025/4/16	high
210929	Jenkins プラグインの複数の脆弱性 (2024 年 11 月 13 日)	Nessus	CGI abuses	2024/11/13	2025/4/16	high
210929	Jenkins plugin 多個弱點 (2024-11-13)	Nessus	CGI abuses	2024/11/13	2025/4/16	high
210929	Jenkins 插件多个漏洞（2024-11-13）	Nessus	CGI abuses	2024/11/13	2025/4/16	high

検出

プラグインの検索

high

high

high

high