根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.277.2，或低于 Jenkins weekly 2.287。因此，该应用程序受到多个漏洞的影响：

  - Jenkins 2.286 及更早版本和 LTS 2.277.1 及更早版本在加载提交到节点的“config.xml”REST API 端点的数据后，并未验证创建的对象类型，拥有 Computer/Configure 权限的攻击者可利用这一点，将节点替换为其他类型的对象。(CVE-2021-21639)

  - Jenkins 2.286 及更早版本和 LTS 2.277.1 及更早版本未正确检查新创建的视图是否具有允许的名称，拥有 View/Create 权限的攻击者可利用这一点，使用无效或已使用的名称创建视图。(CVE-2021-21640)

  - Jenkins promoted builds Plugin 3.9 及更早版本中存在一个跨站脚本伪造 (CSRF) 漏洞，允许攻击者升级版本。(CVE-2021-21641)     
  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在不当证书验证漏洞。该漏洞影响 6.7 及更早版本。该漏洞可允许无条件禁用 SSL/TLS 证书。(CVE-2021-22511)     
  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在跨站请求伪造 (CSRF) 漏洞。该漏洞影响 6.7 及更早版本。该漏洞可在不进行权限检查的情况下允许表单验证。(CVE-2021-22512)     
  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在缺少授权漏洞。该漏洞影响 6.7 及更早版本。该漏洞可在不进行权限检查的情况下允许访问。(CVE-2021-22513)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Jenkins LTS < 2.277.2 / Jenkins weekly < 2.287 多个漏洞

medium Nessus 插件 ID 148418

未找到变更日志