Jenkins 插件多个漏洞（2024 年 5 月 24 日）
high Nessus 插件 ID 197889
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：- Jenkins Report Info 插件 1.2 及更早版本在提供报告文件时未对工作区目录执行路径验证，导致拥有 Item/Configure 权限的攻击者可以通过编辑工作区路径，检索控制器文件系统上的 Surefire 故障、PMD 违规、Findbugs 错误和 Checkstyle 错误。(CVE-2024-5273)
- 高危 - 显示变更时，Team Concert Git 插件 2.0.4 及更早版本未转义构建页面上的 Rational Team Concert (RTC) 服务器 URI，这会导致攻击者可以利用存储型跨站脚本 (XSS) 漏洞，从而对作业进行配置。显示变更时，Team Concert Git 插件 2.0.5 未转义构建页面上的 Rational Team Concert (RTC) 服务器 URI。(CVE-2024-28793)
- 高危 - OpenText Application Automation Tools 插件 24.1.0 及更早版本未配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击，能够控制 OpenText Application Automation Tools 插件构建步骤的输入文件的攻击者可以借此让 Jenkins 解析构建的文件，该文件使用外部实体从 Jenkins 控制器或服务器端请求伪造中提取密钥。OpenText Application Automation Tools 插件 24.1.1-beta 禁用 XML 解析器的外部实体解析功能。此修复目前仅提供 beta 版本。常规更新中心不会显示 beta 版本，但可以在试验性更新中心找到。有关如何安装 beta 版本的更多信息，请参阅此文档。（CVE-2024-4184、CVE-2024-4189、CVE-2024-4690）
- 中危 - OpenText Application Automation Tools 插件 24.1.0 及更早版本在多个 HTTP 端点中未执行权限检查，导致拥有 Overall/Read 权限的攻击者可以枚举 ALM 作业配置、ALM Octane 配置和 Service Virtualization 配置。OpenText Application Automation Tools 插件 24.1.1-beta 要求提供 Item/Configure 权限才能枚举 ALM 作业配置、ALM Octane 配置和 Service Virtualization 配置。此修复目前仅提供 beta 版本。常规更新中心不会显示 beta 版本，但可以在试验性更新中心找到。有关如何安装 beta 版本的更多信息，请参阅此文档。（CVE-2024-4211、CVE-2024-4691、CVE-2024-4692）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
将 Jenkins 插件更新到以下版本：- 将 OpenText Application Automation Tools 插件升级至 24.1.1-beta 或更高版本
- Report Info 插件：请参阅供应商公告
- 将 Team Concert Git 插件升级至 2.0.5 或更高版本
有关更多详细信息，请参阅供应商公告。
另见
插件详情
严重性: High
ID: 197889
文件名: jenkins_security_advisory_2024-05-24_plugins.nasl
版本: 1.6
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2024/5/24
最近更新时间: 2024/10/22
支持的传感器: Nessus Agent, Nessus
Enable CGI Scanning: true
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: High
基本分数: 9
时间分数: 6.7
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2024-4690
CVSS v3
风险因素: High
基本分数: 8
时间分数: 7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2024/5/24
漏洞发布日期: 2024/5/24
参考资料信息
CVE: CVE-2024-28793, CVE-2024-4184, CVE-2024-4189, CVE-2024-4211, CVE-2024-4690, CVE-2024-4691, CVE-2024-4692, CVE-2024-5273