リモートWebサーバーで実行されているJenkinsのバージョンは、2.275より前か、2.263.2より前のJenkins LTSのバージョンです。そのため、以下を含む複数の脆弱性による影響を受けます：

  - エージェント/設定の権限を持つユーザーは、2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSを使って、エージェント名を選択することができます。これにより、Jenkinsはグローバル「config.xml」ファイルを上書きします。（CVE-2021-21605）

  - 様々なオブジェクトを作成したり構成したりする権限を持つ攻撃者は、2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSを使って、細工されたコンテンツを古いデータモニタに注入することができます。これにより、管理者が破棄した危険なオブジェクトがインスタンス化されます。（CVE-2021-21604）

  - 2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSでは、リクエストされたURLをアクセス可能なパスの一覧と一致させないことがあるため、全般/読み取りのアクセス権限を持っていない攻撃者が、そのような権限があるかのようにいくつかのURLにアクセスすることが可能になります。（CVE-2021-21609）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 7 / 8 ホストにインストールされているパッケージは、RHSA-2021：0423 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ant：安全でない一時ファイル（CVE-2020-11979）

  - ant：安全でない一時ファイルの脆弱性（CVE-2020-1945）

  - jenkins: ワークスペースブラウザでの任意ファイル読み取りの脆弱性（CVE-2021-21602）

  - jenkins: 通知バーにおけるXSSの脆弱性（CVE-2021-21603）

  - jenkins: REST API XML逆シリアル化エラーの不適切な処理（CVE-2021-21604）

  - jenkins: エージェント名のパストラバーサルの脆弱性（CVE-2021-21605）

  - jenkins: ファイルフィンガープリントにおける任意ファイルの存在チェック（CVE-2021-21606）

  - jenkins: グラフURLでの過剰なメモリ割り当てにより、サービス拒否が発生します（CVE-2021-21607）

  - jenkins: ボタンラベルの蓄積型XSSの脆弱性（CVE-2021-21608）

  - jenkins: 特定のプレフィックスを持つパスに対する権限チェックがありません（CVE-2021-21609）

  - jenkins: マークアップフォーマッタープレビューでの折り返し型XSSの脆弱性（CVE-2021-21610）

  - jenkins: 新規項目ページの蓄積型XSSの脆弱性（CVE-2021-21611）

  - jenkins: 権限のあるユーザーによるファイルシステムトラバーサル（CVE-2021-21615）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Web サーバーで実行されている Jenkins Enterprise または Jenkins Operations Center のバージョンは、2.222.43.0.1 より前の 2.222.x、2.249.30.0.1 より前の 2.249.x、および 2.263.2.2 より前の 2.x です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - 様々なオブジェクトを作成したり構成したりする権限を持つ攻撃者は、2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSを使って、細工されたコンテンツを古いデータモニタに注入することができます。これにより、管理者が破棄した危険なオブジェクトがインスタンス化されます。（CVE-2021-21604）

  - エージェント/設定の権限を持つユーザーは、2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSを使って、エージェント名を選択することができます。これにより、Jenkinsはグローバル「config.xml」ファイルを上書きします。（CVE-2021-21605）

  - 2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSでは、リクエストされたURLをアクセス可能なパスの一覧と一致させないことがあるため、全般/読み取りのアクセス権限を持っていない攻撃者が、そのような権限があるかのようにいくつかのURLにアクセスすることが可能になります。（CVE-2021-21609）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っています。

リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021: 0637 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ant：安全でない一時ファイル（CVE-2020-11979）

  - ant：安全でない一時ファイルの脆弱性（CVE-2020-1945）

  - jenkins-2-plugins/subversion: XMLパーサーは、XML外部エンティティ（XXE）攻撃を防止していません（CVE-2020-2304）

  - jenkins-2-plugins/mercurial: XMLパーサーは、XML外部エンティティ（XXE）攻撃を防止していません（CVE-2020-2305）

  - jenkins-2-plugins/mercurial: HTTPエンドポイントでパーミッションチェックを欠落する情報開示につながる可能性があり（CVE-2020-2306）

  - jenkins-2-plugins/kubernetes: Jenkinsコントローラーの環境変数はKubernetesプラグインでアクセス可能です（CVE-2020-2307）

  - jenkins-2-plugins/kubernetes: Kubernetesプラグインに権限チェックがないため、ポッドテンプレートを一覧表示できる（CVE-2020-2308）

  - jenkins-2-plugins/kubernetes: Kubernetesプラグインに権限チェックがないため、認証情報IDを列挙できる（CVE-2020-2309）

  - python-rsa：RSA 復号に対して Bleichenbacher のタイミングオラクル攻撃（CVE-2020-25658）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 7 / 8ホストにインストールされているパッケージは、RHSA-2021：0429のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ant：安全でない一時ファイル（CVE-2020-11979）

  - ant：安全でない一時ファイルの脆弱性（CVE-2020-1945）

  - jenkins: ワークスペースブラウザでの任意ファイル読み取りの脆弱性（CVE-2021-21602）

  - jenkins: 通知バーにおけるXSSの脆弱性（CVE-2021-21603）

  - jenkins: REST API XML逆シリアル化エラーの不適切な処理（CVE-2021-21604）

  - jenkins: エージェント名のパストラバーサルの脆弱性（CVE-2021-21605）

  - jenkins: ファイルフィンガープリントにおける任意ファイルの存在チェック（CVE-2021-21606）

  - jenkins: グラフURLでの過剰なメモリ割り当てにより、サービス拒否が発生します（CVE-2021-21607）

  - jenkins: ボタンラベルの蓄積型XSSの脆弱性（CVE-2021-21608）

  - jenkins: 特定のプレフィックスを持つパスに対する権限チェックがありません（CVE-2021-21609）

  - jenkins: マークアップフォーマッタープレビューでの折り返し型XSSの脆弱性（CVE-2021-21610）

  - jenkins: 新規項目ページの蓄積型XSSの脆弱性（CVE-2021-21611）

  - jenkins: 権限のあるユーザーによるファイルシステムトラバーサル（CVE-2021-21615）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
145248	Jenkins < 2.263.2 LTS/2.275の複数の脆弱性	Nessus	CGI abuses	2021/1/22	2022/4/11	high
146566	RHEL 7/8：OpenShift Container Platform 4.6.17 (RHSA-2021：0423)	Nessus	Red Hat Local Security Checks	2021/2/18	2024/4/28	high
155715	Jenkins Enterprise および Operations Center < 2.222.43.0.1 / 2.249.30.0.1 / 2.263.2.2複数の脆弱性 (CloudBees セキュリティアドバイザリ 2021 年 1 月 13 日)	Nessus	CGI abuses	2021/11/29	2022/4/11	high
147013	RHEL 7：OpenShift Container Platform 3.11.394バグ修正および（RHSA-2021: 0637)	Nessus	Red Hat Local Security Checks	2021/3/3	2024/4/28	high
147015	RHEL 7/8：OpenShift Container Platform 4.5.33パッケージおよび（RHSA-2021: 0429)	Nessus	Red Hat Local Security Checks	2021/3/3	2024/4/28	high

検出

プラグインの検索

high

high

high

high

high