RHEL 7:OpenShift Container Platform 4.4.z jenkins-2-plugins (RHSA-2020: 2737)

high Nessus 插件 ID 137885

简介

远程 Red Hat 主机缺少一个或多个安全更新。

描述

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 2737 公告中提及的多个漏洞的影响。

- jenkins-script-security-plugin:沙盒保护绕过导致沙盒脚本中存在执行任意代码 (CVE-2019-16538)

- jenkins-pipeline-groovy-plugin:通过 CPS 转换方法中的默认参数表达式造成沙盒保护绕过 (CVE-2020-2109)

- jenkins-script-security-plugin:通过应用 AST 转换注释在脚本编译阶段造成沙盒保护绕过 (CVE-2020-2110)

- jenkins-subversion-plugin:项目存储库基本 url 中存在 XSS (CVE-2020-2111)

- jenkins-script-security-plugin:通过构建的构造函数调用和构建的构造函数正文造成沙盒保护绕过 (CVE-2020-2134)

- jenkins-script-security-plugin:沙盒保护绕过导致任意代码执行 (CVE-2020-2135)

- jenkins-git-plugin:存储型跨站脚本 (CVE-2020-2136)

请注意,Nessus 尚未测试这些问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

更新受影响的 jenkins-2-plugins 程序包。

另见

http://www.nessus.org/u?3b70c6a3

https://access.redhat.com/security/updates/classification/#important

https://access.redhat.com/errata/RHSA-2020:2737

https://bugzilla.redhat.com/show_bug.cgi?id=1819074

https://bugzilla.redhat.com/show_bug.cgi?id=1819078

https://bugzilla.redhat.com/show_bug.cgi?id=1819091

https://bugzilla.redhat.com/show_bug.cgi?id=1819093

https://bugzilla.redhat.com/show_bug.cgi?id=1819095

https://bugzilla.redhat.com/show_bug.cgi?id=1819105

https://bugzilla.redhat.com/show_bug.cgi?id=1819652

插件详情

严重性: High

ID: 137885

文件名: redhat-RHSA-2020-2737.nasl

版本: 1.12

类型: local

代理: unix

发布时间: 2020/6/29

最近更新时间: 2024/4/28

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.5

时间分数: 4.8

矢量: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P

CVSS 分数来源: CVE-2020-2135

CVSS v3

风险因素: High

基本分数: 8.8

时间分数: 7.7

矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:jenkins-2-plugins

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

易利用性: No known exploits are available

补丁发布日期: 2020/6/29

漏洞发布日期: 2019/11/21

参考资料信息

CVE: CVE-2019-16538, CVE-2020-2109, CVE-2020-2110, CVE-2020-2111, CVE-2020-2134, CVE-2020-2135, CVE-2020-2136

CWE: 20, 79, 863, 94

RHSA: 2020:2737