Jenkins LTS < 2.277.2 / Jenkins weekly < 2.287 多个漏洞
medium Nessus 插件 ID 148418
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.277.2，或低于 Jenkins weekly 2.287。因此，该应用程序受到多个漏洞的影响：- Jenkins 2.286 及更早版本和 LTS 2.277.1 及更早版本在加载提交到节点的“config.xml”REST API 端点的数据后，并未验证创建的对象类型，拥有 Computer/Configure 权限的攻击者可利用这一点，将节点替换为其他类型的对象。(CVE-2021-21639)
- Jenkins 2.286 及更早版本和 LTS 2.277.1 及更早版本未正确检查新创建的视图是否具有允许的名称，拥有 View/Create 权限的攻击者可利用这一点，使用无效或已使用的名称创建视图。(CVE-2021-21640)
- Jenkins promoted builds Plugin 3.9 及更早版本中存在一个跨站脚本伪造 (CSRF) 漏洞，允许攻击者升级版本。(CVE-2021-21641)
- Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在不当证书验证漏洞。该漏洞影响 6.7 及更早版本。该漏洞可允许无条件禁用 SSL/TLS 证书。(CVE-2021-22511)
- Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在跨站请求伪造 (CSRF) 漏洞。该漏洞影响 6.7 及更早版本。该漏洞可在不进行权限检查的情况下允许表单验证。(CVE-2021-22512)
- Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在缺少授权漏洞。该漏洞影响 6.7 及更早版本。该漏洞可在不进行权限检查的情况下允许访问。(CVE-2021-22513)
请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
升级至 Jenkins weekly 2.287 或更高版本，或升级至 Jenkins LTS 2.277.2 或更高版本另见
插件详情
严重性: Medium
ID: 148418
文件名: jenkins_2_287.nasl
版本: 1.7
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2021/4/9
最近更新时间: 2022/5/10
配置: 启用全面检查
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: Medium
基本分数: 6.4
时间分数: 4.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 分数来源: CVE-2021-22511
CVSS v3
风险因素: Medium
基本分数: 6.5
时间分数: 5.7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2021-22513
漏洞信息
CPE: cpe:/a:cloudbees:jenkins, cpe:/a:jenkins:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2021/4/7
漏洞发布日期: 2021/4/7
参考资料信息
CVE: CVE-2021-21639, CVE-2021-21640, CVE-2021-21641, CVE-2021-22510, CVE-2021-22511, CVE-2021-22512, CVE-2021-22513