Jenkins 插件多个漏洞 (2025-09-03)
medium Nessus 插件 ID 261154
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：- 在 Jakarta Mail 2.0.2 中可以通过利用 \r 和 \n UTF-8 字符分隔不同的消息执行 SMTP 注入。 (CVE-2025-7962)
- 在 Jenkins Git 客户端插件 6.3.2 和先前版本中Git URL 字段表单验证响应因指定用于 JGit 的“amazon-s3”协议时控制器上是否存在指定的文件路径而不同这可允许具有 Overall/Read 权限的攻击者检查 Jenkins 控制器文件系统中是否存在攻击者指定的文件路径。 (CVE-2025-58458)
- Jenkins global-build-stats Plugin 322.v22f4db_18e2dd 及更早版本未在其 REST API 端点中执行权限检查这允许具有 Overall/Read 权限的攻击者枚举图形 ID。
(CVE-2025-58459)
- Jenkins OpenTelemetry Plugin 3.1543.v8446b_92b_cd64 和更早版本中缺少一个权限检查允许具有 Overall/Read 权限的攻击者使用通过另一种捕获 Jenkins 中存储的凭据的方法取得的攻击者指定的凭据 ID 连接到攻击者指定的 URL。 (CVE-2025-58460)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
将 Jenkins 插件更新到以下版本：- Git 客户端插件更新到版本 6.3.3 或更高版本
- global-build-stats 插件版本 347.v32a_eb_0493c4f 或更高版本
- Jakarta Mail API 插件升级到 2.1.3-3 或更高版本
- OpenTelemetry Plugin 版本 3.1543.1545.vf5a_4ec123769 或更高版本
有关更多详细信息，请参阅供应商公告。
另见
插件详情
严重性: Medium
ID: 261154
文件名: jenkins_security_advisory_2025-09-03_plugins.nasl
版本: 1.1
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2025/9/3
最近更新时间: 2025/9/3
支持的传感器: Nessus Agent, Nessus
Enable CGI Scanning: true
风险信息
VPR
风险因素: Medium
分数: 5.0
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N
CVSS 分数来源: CVE-2025-7962
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6
Threat Score: 2.3
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:L/SA:N
漏洞信息
CPE: cpe:/a:cloudbees:jenkins, cpe:/a:jenkins:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2025/9/3
漏洞发布日期: 2025/7/21
参考资料信息
CVE: CVE-2025-58458, CVE-2025-58459, CVE-2025-58460, CVE-2025-7962