Jenkins 插件多个漏洞（2023 年 11 月 29 日）
critical Nessus 插件 ID 186420
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：- 中危 Jira 插件 3.11 及更早版本没有为凭据查找设置适当的上下文，从而允许使用系统范围的凭据，否则会为全局配置保留。这将允许拥有“项目/配置”权限的攻击者访问并捕获他们无权获得的凭据。Jira 插件 3.12 可为凭据查找定义相应的上下文。(CVE-2023-49653)
- 中危 Google Compute Engine 插件 4.550.vb_327fca_3db_11 及更早版本无法在多个 HTTP 端点中正确执行权限检查。具有全局项目/配置权限的攻击者（同时缺乏对任何特定作业的项目/配置权限）可借此执行以下操作：枚举存储在 Jenkins 中凭据的系统范围凭据 ID。这些可用作攻击的一部分，以使用其他漏洞捕获凭据。使用通过其他方法获取的攻击者指定的凭据 ID 连接到 Google Cloud Platform，以获取有关现有项目的信息。Google Compute Engine 插件 4.551.v5a_4dc98f6962 需要受影响 HTTP 端点的全局/管理员权限。(CVE-2023-49652)
- High MATLAB 插件通过解析该目录中的 XML 文件，来确定 Jenkins 控制器中用户指定的目录是否是 MATLAB 安装位置。MATLAB 插件 2.11.0 及更早版本在实现相关表单验证的多个 HTTP 端点中未执行权限检查。
此外，这些 HTTP 端点不需要 POST 请求，从而导致跨站请求伪造 (CSRF) 漏洞。此外，该插件并未配置其 XML 解析器，以防止 XML 外部实体 (XXE) 攻击。能够在 Jenkins 控制器文件系统上创建文件的攻击者可借此让 Jenkins 解析构建的 XML 文档，该文档会使用外部实体从 Jenkins 控制器或服务器端请求伪造中提取密钥。MATLAB 插件 2.11.1 会配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击。此外，受影响的 HTTP 端点需要 POST 请求和项目/配置权限。（CVE-2023-49654、CVE-2023-49655、CVE-2023-49656）
- 中危 NeuVector Vulnerability Scanner 插件 1.22 及更早版本未在连接测试 HTTP 端点中执行权限检查。这将允许具有全局/读取权限的攻击者使用攻击者指定的用户名和密码连接到攻击者指定的主机名和端口。此外，此 HTTP 端点不需要 POST 请求，这会导致跨站请求伪造 (CSRF) 漏洞。NeuVector Vulnerability Scanner 插件 2.2 需要受影响的 HTTP 端点的 POST 请求和整体/管理员权限。(CVE-2023-49673、CVE-2023-49674)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
将 Jenkins 插件更新到以下版本：- 将 Google Compute Engine 插件版本更新至 4.551.v5a_4dc98f6962 或更高版本
- 升级到 Jira 插件 3.12 或更高版本
- 升级到 MATLAB 插件 2.11.1 或更高版本
- 升级到 NeuVector Vulnerability Scanner 插件 2.2 或更高版本
有关更多详细信息，请参阅供应商公告。
另见
插件详情
严重性: Critical
ID: 186420
文件名: jenkins_security_advisory_2023-11-29_plugins.nasl
版本: 1.3
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2023/11/29
最近更新时间: 2024/10/3
支持的传感器: Nessus Agent, Nessus
Enable CGI Scanning: true
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2023-49673
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2023-49656
漏洞信息
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2023/11/29
漏洞发布日期: 2023/11/29
参考资料信息
CVE: CVE-2023-49652, CVE-2023-49653, CVE-2023-49654, CVE-2023-49655, CVE-2023-49656, CVE-2023-49673, CVE-2023-49674