自己報告によるバージョン番号によると、リモート Web サーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins Report Info Plugin 1.2 以前は、レポートファイルの提供中にワークスペースディレクトリのパス検証を実行しないため、Item/Configure アクセス許可を持つ攻撃者が、ワークスペースパスを編集することで、コントローラーファイルシステム上で Surefire の失敗、PMD の違反、Findbugs のバグ、および Checkstyle エラーを取得する可能性があります。(CVE-2024-5273)

  - 重要度高 TeamConcert Git プラグイン 2.0.4 以前は、変更を表示する際に、ビルドページで Rational Team Concert (RTC) サーバー URI をエスケープしません。これにより、ジョブを設定できる攻撃者が悪用可能な格納型クロスサイトスクリプティング (XSS) の脆弱性が発生する可能性があります。- TeamConcert Git プラグイン 2.0.5 は、変更を表示する際に、ビルドページで Rational Team Concert (RTC) サーバー URI をエスケープしません。(CVE-2024-28793)

  - 重要度高 OpenText Application Automation Tools プラグイン 24.1.0 以前は、XML 外部エンティティ (XXE) 攻撃を防ぐための XML パーサーを構成していません。これにより、OpenText Application Automation Tools プラグインのビルドステップの入力ファイルを制御できる攻撃者が、Jenkins コントローラーまたはサーバー側のリクエスト偽造から秘密を抽出するために外部エンティティを使用する細工されたファイルを Jenkins に解析させる可能性があります。OpenText Application Automation Tools Plugin 24.1.1-beta は、その XML パーサーの外部エンティティ解決を無効にします。この修正は現在、ベータリリースとしてのみ利用可能です。ベータリリースは通常の更新センターには現れませんが、実験的更新センターで見つけることができます。ベータリリースのインストール方法についての詳細は、このドキュメントを参照してください。(CVE-2024-4184、CVE-2024-4189、CVE-2024-4690)

  - 重要度中 OpenText Application Automation Tools プラグイン 24.1.0 以前では、複数の HTTP エンドポイントでアクセス許可チェックを実行しません。これにより、Overall/Read アクセス許可を持つ攻撃者が、ALM ジョブ構成、ALM Octane 構成、および Service Virtualization 構成を列挙する可能性があります。OpenText Application Automation Tools Plugin 24.1.1-beta では、ALM ジョブ構成、ALM Octane 構成、および Service Virtualization 構成を列挙するために、Item/Configure アクセス許可が必要です。この修正は現在、ベータリリースとしてのみ利用可能です。ベータリリースは通常の更新センターには現れませんが、実験的更新センターで見つけることができます。ベータリリースのインストール方法についての詳細は、このドキュメントを参照してください。(CVE-2024-4211、CVE-2024-4691、CVE-2024-4692)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Jenkins Report Info Plugin 1.2 and earlier does not perform path validation of the workspace directory     while serving report files, allowing attackers with Item/Configure permission to retrieve Surefire     failures, PMD violations, Findbugs bugs, and Checkstyle errors on the controller file system by editing     the workspace path. (CVE-2024-5273)

  - High Team Concert Git Plugin 2.0.4 and earlier does not escape the Rational Team Concert (RTC) server URI     on the build page when showing changes. This results in a stored cross-site scripting (XSS) vulnerability     exploitable by attackers able to configure jobs. Team Concert Git Plugin 2.0.5 escapes the Rational Team     Concert (RTC) server URI on the build page when showing changes. (CVE-2024-28793)

  - High OpenText Application Automation Tools Plugin 24.1.0 and earlier does not configure its XML parsers to     prevent XML external entity (XXE) attacks. This allows attackers able to control the input files for     OpenText Application Automation Tools Plugin build steps and post-build steps to have Jenkins parse a     crafted file that uses external entities for extraction of secrets from the Jenkins controller or server-     side request forgery. OpenText Application Automation Tools Plugin 24.1.1-beta disables external entity     resolution for its XML parsers. The fix is currently available only as a beta release. Beta releases will     not appear in the regular update center but can be found in the experimental update center. For more     information on how to install a beta release, see this documentation. (CVE-2024-4184, CVE-2024-4189,     CVE-2024-4690)

  - Medium OpenText Application Automation Tools Plugin 24.1.0 and earlier does not perform permission checks     in several HTTP endpoints. This allows attackers with Overall/Read permission to enumerate ALM jobs     configurations, ALM Octane configurations and Service Virtualization configurations. OpenText Application     Automation Tools Plugin 24.1.1-beta requires Item/Configure permission to enumerate ALM jobs     configurations, ALM Octane configurations and Service Virtualization configurations. The fix is currently     available only as a beta release. Beta releases will not appear in the regular update center but can be     found in the experimental update center. For more information on how to install a beta release, see this     documentation. (CVE-2024-4211, CVE-2024-4691, CVE-2024-4692)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - Jenkins Report Info Plugin 1.2 和更舊版本在提供報告檔案時未對工作區目錄執行路徑驗證，導致擁有 Item/Configure 權限的攻擊者可透過編輯工作區路徑，擷取控制器檔案系統上的 Surefire 失敗、PMD 違規、Findbugs 錯誤和 Checkstyle 錯誤。(CVE-2024-5273)

  - 高 - 顯示變更時，Team Orchestra Git Plugin 2.0.4 和更舊版本未逸出構建頁面上的 Rational Team Orchestra (RTC) 伺服器 URI，這會導致儲存型跨網站指令碼 (XSS) 弱點，能夠設定工作的攻擊者可利用此弱點。顯示變更時，Team Orchestra Git Plugin 2.0.5 和更舊版本未逸出構建頁面上的 Rational Team Orchestra (RTC) 伺服器 URI。(CVE-2024-28793)

  - 高 - OpenText Application Automation Tools Plugin 24.1.0 和更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。攻擊者能夠藉此控制 OpenText Application Automation Tools Plugin 構建步驟的輸入檔案，讓 Jenkins 剖析使用外部實體的特製檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。OpenText Application Automation Tools Plugin 24.1.1-beta 停用了其 XML 剖析器的外部實體解析功能。此修正目前僅作為 beta 版本提供。一般更新中心不會顯示 beta 版本，但可在實驗性更新中心找到。有關如何安裝 beta 版本的更多資訊，請參閱此文件。(CVE-2024-4184、CVE-2024-4189、CVE-2024-4690)

  - 中 - OpenText Application Automation Tools Plugin 24.1.0 和更舊版本不會在多個 HTTP 端點中執行權限檢查，導致擁有 Overall/Read 權限的攻擊者可以列舉 ALM 工作設定、ALM Octane 設定和 Service Virtualization 設定。OpenText Application Automation Tools Plugin 24.1.1-beta 要求提供 Item/Configure 權限才能列舉 ALM 工作設定、ALM Octane 設定和 Service Virtualization 設定。此修正目前僅作為 beta 版本提供。一般更新中心不會顯示 beta 版本，但可在實驗性更新中心找到。有關如何安裝 beta 版本的更多資訊，請參閱此文件。(CVE-2024-4211、CVE-2024-4691、CVE-2024-4692)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins Report Info 插件 1.2 及更早版本在提供报告文件时未对工作区目录执行路径验证，导致拥有 Item/Configure 权限的攻击者可以通过编辑工作区路径，检索控制器文件系统上的 Surefire 故障、PMD 违规、Findbugs 错误和 Checkstyle 错误。(CVE-2024-5273)

  - 高危 - 显示变更时，Team Concert Git 插件 2.0.4 及更早版本未转义构建页面上的 Rational Team Concert (RTC) 服务器 URI，这会导致攻击者可以利用存储型跨站脚本 (XSS) 漏洞，从而对作业进行配置。显示变更时，Team Concert Git 插件 2.0.5 未转义构建页面上的 Rational Team Concert (RTC) 服务器 URI。(CVE-2024-28793)

  - 高危 - OpenText Application Automation Tools 插件 24.1.0 及更早版本未配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击，能够控制 OpenText Application Automation Tools 插件构建步骤的输入文件的攻击者可以借此让 Jenkins 解析构建的文件，该文件使用外部实体从 Jenkins 控制器或服务器端请求伪造中提取密钥。OpenText Application Automation Tools 插件 24.1.1-beta 禁用 XML 解析器的外部实体解析功能。此修复目前仅提供 beta 版本。常规更新中心不会显示 beta 版本，但可以在试验性更新中心找到。有关如何安装 beta 版本的更多信息，请参阅此文档。（CVE-2024-4184、CVE-2024-4189、CVE-2024-4690）

  - 中危 - OpenText Application Automation Tools 插件 24.1.0 及更早版本在多个 HTTP 端点中未执行权限检查，导致拥有 Overall/Read 权限的攻击者可以枚举 ALM 作业配置、ALM Octane 配置和 Service Virtualization 配置。OpenText Application Automation Tools 插件 24.1.1-beta 要求提供 Item/Configure 权限才能枚举 ALM 作业配置、ALM Octane 配置和 Service Virtualization 配置。此修复目前仅提供 beta 版本。常规更新中心不会显示 beta 版本，但可以在试验性更新中心找到。有关如何安装 beta 版本的更多信息，请参阅此文档。（CVE-2024-4211、CVE-2024-4691、CVE-2024-4692）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
197889	Jenkins プラグインの複数の脆弱性 (2024 年 5 月 24 日)	Nessus	CGI abuses	2024/5/24	2024/10/22	high
197889	Jenkins plugins Multiple Vulnerabilities (2024-05-24)	Nessus	CGI abuses	2024/5/24	2024/10/22	high
197889	Jenkins plugin 多個弱點 (2024 年 5 月 24 日)	Nessus	CGI abuses	2024/5/24	2024/10/22	high
197889	Jenkins 插件多个漏洞（2024 年 5 月 24 日）	Nessus	CGI abuses	2024/5/24	2024/10/22	high

检测

插件搜索

high

high

high

high