リモート Web サーバーで実行されている Jenkins Enterprise または Jenkins Operations Center のバージョンは、2.277.43.0.7 より前の 2.277.x、2.303.30.0.6 より前の 2.303.x、および 2.319.3.4より前の 2.xです。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Jenkins パイプライン: Groovy プラグイン 2648.va9433432b33c 以前では、Pipelines のスクリプトファイル (通常は Jenkinsfile) を読み取る際に、異なる SCM に対して同じチェックアウトディレクトリを使用するため、細工された SCM コンテンツを通じて、Item/Configure 権限のある攻撃者がコントローラーで任意の OS コマンドを呼び出す可能性があります。
    (CVE-2022-25173)

  - Jenkins パイプライン: 共有 Groovy Libraries プラグイン 552.vd9cc05b8a2e1 以前では、パイプラインライブラリ向けの異なる SCM に対して同じチェックアウトディレクトリを使用するため、細工された SCM コンテンツを通じて、Item/Configure 権限のある攻撃者がコントローラーで任意の OS コマンドを呼び出す可能性があります。(CVE-2022-25174)

  - Jenkins パイプラインのサンドボックスバイパスの脆弱性: 共有 Groovy Libraries Plugin 552.vd9cc05b8a2e1 以前では、Item/Configure 権限を持つ攻撃者が、グローバルパイプラインライブラリがすでに構成されている場合、特別に細工されたライブラリ名を使用して、Jenkins コントローラー JVM で任意のコードを実行することが可能です。
    (CVE-2022-25182)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
158690	Jenkins Enterprise and Operations Center 2.277.x< 2.277.43.0.7/ 2.303.x< 2.303.30.0.6/ 2.319.3.4複数の脆弱性 (CloudBees セキュリティアドバイザリ 2022 年 2 月 15 日)	Nessus	CGI abuses	2022/3/8	2022/4/11	high
162138	Jenkins プラグインの複数の脆弱性 (2022 年 2 月 15 日)	Nessus	CGI abuses	2022/6/13	2023/7/28	high

検出

プラグインの検索

high

high