Jenkins LTS < 2.289.2 / Jenkins weekly < 2.300 多个漏洞
high Nessus 插件 ID 151193
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.289.2，或低于 Jenkins weekly 2.300。因此，该应用程序受到多个漏洞的影响：- 即使用户不具有“项目/读取”权限，也可利用 Jenkins 2.299 和更早版本、LTS 2.289.1 和更早版本取消队列项目并中止其拥有“项目/取消”权限的作业生成。Jenkins 2.300 LTS 2.289.2 要求用户除了拥有“项目/取消”权限之外，还需拥有适用类型的“项目/读取”权限。作为对 Jenkins 早期版本的变通方案，请勿向没有“项目/读取”权限的用户授予“项目/取消”权限。(CVE-2021-21670)
- Jenkins 2.299 和更早版本、LTS 2.289.1 和更早版本在登录时不会使现有会话失效。攻击者可借此使用社交工程技术来获取 Jenkins 的管理员访问权限。此漏洞在 Jenkins 2.266 和 LTS 2.277.1 中引入。登录时，Jenkins 2.300 和 LTS 2.289.2 会使现有会话失效。注意：如果出现问题，管理员可以通过将 Java 系统属性 hudson.security.SecurityRealm.sessionFixationProtectionMode 设置为 2 来选择不同的实现，或者通过将该系统属性设置为 0 来完全禁用该修复。(CVE-2021-21671)
- Seleium HTML 报告插件 1.0 及更早版本未配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击。能够使用此插件控制所解析的报告文件的攻击者可借此让 Jenkins 解析构建的报告文件，该报告文件使用外部实体从 Jenkins 控制器或服务器端请求伪造中提取密钥。Seleium HTML 报告插件 1.1 禁用其 XML 解析器的外部实体解析。 (CVE-2021-21672)
- CAS插件 1.6.0 及更早版本未正确确定登录后的重定向 URL 是否合法指向 Jenkins。攻击者可借此让用户访问 Jenkins URL，进而在用户成功进行身份验证后将其转发至其他站点，从而执行钓鱼攻击。CAS 插件 1.6.1 仅重定向至相关 (Jenkins) URL。 (CVE-2021-21673)
- requests-plugin 插件 2.2.6 及更早版本未在 HTTP 端点中执行权限检查。具有“整体/读取”权限的攻击者可借此查看待定请求列表。 requests-plugin 插件 2.2.7 需要“整体/读取”权限才能查看待定请求列表。(CVE-2021-21674)
请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
升级至 Jenkins weekly 2.300 或更高版本，或升级至 Jenkins LTS 2.289.2 或更高版本另见
插件详情
严重性: High
ID: 151193
文件名: jenkins_2_300.nasl
版本: 1.9
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2021/6/30
最近更新时间: 2024/6/5
配置: 启用全面检查
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: Medium
基本分数: 5.8
时间分数: 4.3
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS 分数来源: CVE-2021-21673
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2021-21671
漏洞信息
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2021/6/30
漏洞发布日期: 2021/6/30
参考资料信息
CVE: CVE-2021-21670, CVE-2021-21671, CVE-2021-21672, CVE-2021-21673, CVE-2021-21674
IAVA: 2021-A-0335-S