更新版 Jenkins 程序包和图像包含一个安全修复，现在可用于 Red Hat OpenShift Enterprise 3.1。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。Jenkins 是种持续集成服务器，可监控重复工作的执行，例如生成软件项目，或由 cron 运行的作业。安全修复：Jenkins Continuous Integration Server 已更新至 1.642.2 LTS 上游版本，可解决大量安全问题，包括 XSS、CSRF、信息泄露和代码执行。(CVE-2016-0788, CVE-2016-0789, CVE-2016-0790, CVE-2016-0791, CVE-2016-0792) 如需变更列表，请参阅“参考”部分中列出的更改日志。此更新包含下列图像：openshift3/jenkins-1-rhel7:1.642-30 建议所有 OpenShift Enterprise 3.1 用户升级到更新版程序包和图像。

远程 Web 服务器托管低于 1.650 的 Jenkins 或低于 1.642.2 的 Jenkins LTS；或者低于 1.642.2.1 的 1.642.x.y、低于 1.625.16.1 的 1.625.x.y 或低于 1.609.16.1 的 1.609.x.y 版本的 Jenkins Enterprise。因此，该应用程序受到以下漏洞的影响：

  - Jenkins 远程模块中存在一个不明缺陷。未经身份验证的远程攻击者可利用此漏洞，在托管 Jenkins 主进程的服务器上打开 JRMP 侦听器，进而执行任意代码。(CVE-2016-0788)

  - main/java/hudson/cli/CLIAction.java 中存在一个缺陷，这是因为在 HTTP 响应中加入 CRLF 序列之前，通过 CLI 命令名称绕过而不当清理 CRLF 序列所导致。未经身份验证的远程攻击者可利用此漏洞，通过构建的 Jenkins URL 发动 HTTP 响应分割攻击。(CVE-2016-0789)

  - 验证用户提供的 API 标记时无法使用常数时间比较算法。未经身份验证的远程攻击者可利用此漏洞，通过统计方法确定有效的 API 令牌，借此发动暴力破解攻击来获取用户凭据访问权限。(CVE-2016-0790)

  - 验证用户提供的 XSRF crumbs 时无法使用常数时间比较算法。未经认证的远程攻击者可利用此漏洞，通过统计方法确定有效的 XSRF crumbs，借此发动暴力破解攻击来绕过跨站请求伪造保护机制。
    (CVE-2016-0791)

  - groovy.runtime.MethodClosure 类中存在一个缺陷，这是因未认证的 Java 对象对 Commons Collections 库进行不安全的反序列化调用所导致。经过身份验证的远程攻击者可利用此漏洞，通过将构建的 XML 文件发布到某些 API 端点，执行任意代码。(CVE-2016-0792)

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2016:1773 公告中提及的多个漏洞影响。

  - Apache HttpComponents 客户端/Apache CXF：SSL 主机名验证绕过，CVE-2012-6153 修复不完整 (CVE-2014-3577)

  - apache-commons-collections：反序列化期间发生 InvokerTransformer 代码执行 (CVE-2015-7501)

  - jenkins：远程处理模块中存在远程代码执行漏洞 (SECURITY-232) (CVE-2016-0788)

  - jenkins：HTTP 响应拆分漏洞 (SECURITY-238) (CVE-2016-0789)

  - jenkins：API 令牌的非常量时间比较 (SECURITY-241) (CVE-2016-0790)

  - jenkins：CSRF crumb 的非常量时间比较 (SECURITY-245) (CVE-2016-0791)

  - jenkins：通过远程 API 发起远程代码执行 (SECURITY-247) (CVE-2016-0792)

  - jenkins：任意构建参数作为环境变量传递到构建脚本 (SECURITY-170) (CVE-2016-3721)

  - jenkins：拥有多个用户帐户的恶意用户可阻止其他用户登录 (SECURITY-243) (CVE-2016-3722)

  - jenkins：有关已安装插件的信息通过 API 暴露 (SECURITY-250) (CVE-2016-3723)

  - jenkins：加密密钥（例如密码）被泄露给有配置读取权限的用户 (SECURITY-266) (CVE-2016-3724)

  - jenkins：普通用户可触发下载更新站点元数据操作 (SECURITY-273) (CVE-2016-3725)

  - jenkins：开放重定向到方案相关的 URL (SECURITY-276) (CVE-2016-3726)

  - jenkins：授予节点配置读取权限会导致整体系统配置都可以被访问 (SECURITY-281) (CVE-2016-3727)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
119370	RHEL 7 : jenkins (RHSA-2016:0711)	Nessus	Red Hat Local Security Checks	2018/12/4	2025/2/13	critical
89925	Jenkins < 1.642.2 / 1.650 和 Jenkins Enterprise < 1.609.16.1 / 1.625.16.1 / 1.642.2.1 多种漏洞	Nessus	CGI abuses	2016/3/14	2024/6/5	critical
119378	RHEL 6：Red Hat OpenShift Enterprise 2.2.10 (RHSA-2016:1773)	Nessus	Red Hat Local Security Checks	2018/12/4	2025/2/13	critical

检测

插件搜索

critical

critical

critical