Jenkins Enterprise 和 Operations Center 2.346.x < 2.346.40.0.6 / 2.361.3.4 多个漏洞（CloudBees 安全公告 2022-11-15）
critical Nessus 插件 ID 167634
语言：
简介
远程 Web 服务器上托管的作业调度和管理系统受到多个漏洞的影响。描述
远程 Web 服务器上运行的 Jenkins Enterprise 或 Jenkins Operations Center 版本为低于 2.346.40.0.6 的 2.346.x 或低于 2.361.3.4 的 2.x。因此，该应用程序受到多个漏洞的影响，其中包括：- snakeyaml 上的 CVE-2022-38751（修复了系列 2.346.x.0.z）(BEE-23728)
- snakeyaml 上的 CVE-2022-38749（修复了系列 2.346.x.0.z）(BEE-23729)
- Pipeline Utility Steps 插件中的远程代码执行漏洞 (CVE-2022-33980)
- NS-ND Integration Performance Publisher 插件无条件禁用 SSL/TLS 证书验证 (CVE-2022-38666)
- 易受 SHA-1 冲突影响的脚本安全插件中的完整脚本批准 (CVE-2022-45379)
- JUnit 插件中的存储型 XSS 漏洞 (CVE-2022-45380)
- Pipeline Utility Steps 插件中的任意文件读取漏洞 (CVE-2022-45381)
- Naginator 插件中的存储型 XSS 漏洞 (CVE-2022-45382)
- Support Core 插件中不正确的权限检查 (CVE-2022-45383)
- Reverse Proxy Auth 插件以纯文本形式存储密码 (CVE-2022-45384)
- CloudBees Docker Hub/Registry Notification 插件中缺少 webhook 认证机制 (CVE-2022-45385)
- Violations 插件中的代理上的 XXE 漏洞 (CVE-2022-45386)
- BART 插件中的存储型 XSS 漏洞 (CVE-2022-45387)
- Config Rotator 插件中的任意文件读取漏洞 (CVE-2022-45388)
- XP-Dev 插件中缺少 webhook 认证机制 (CVE-2022-45389)
- loader.io 插件中缺少权限检查允许枚举凭据 ID (CVE-2022-45390)
- NS-ND Integration Performance Publisher 插件无条件且在全局禁用 SSL/TLS 证书验证 (CVE-2022-45391)
- NS-ND Integration Performance Publisher 插件以纯文本形式存储密码 (CVE-2022-45392)
- Delete log 插件中的 CSRF 漏洞和缺少的权限检查（CVE-2022-45393、CVE-2022-45394）
- CCCC 插件中的代理上的 XXE 漏洞 (CVE-2022-45395)
- SourceMonitor 插件中的代理上的 XXE 漏洞 (CVE-2022-45396)
- OSF Builder Suite 中的代理上的 XXE 漏洞：: XML Linter 插件 (CVE-2022-45397)
- Cluster Statistics 插件中的 CSRF 漏洞和缺少的权限检查（CVE-2022-45398、CVE-2022-45399）
- JAPEX 插件中的 XXE 漏洞 (CVE-2022-45400)
- Associated Files 插件中的存储型 XSS 漏洞 (CVE-2022-45401)
请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
升级至 Jenkins Enterprise 或 Jenkins Operations Center 2.346.40.0.6、2.361.3.4 或更高版本。另见
插件详情
严重性: Critical
ID: 167634
文件名: cloudbees-security-advisory-2022-11-15.nasl
版本: 1.3
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2022/11/16
最近更新时间: 2022/11/17
配置: 启用彻底检查
支持的传感器: Nessus Agent
风险信息
VPR
风险因素: High
分数: 8.4
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.5
矢量: AV:N/AC:L/Au:N/C:P/I:P/A:P
时间矢量: E:U/RL:OF/RC:C
CVSS 分数来源: CVE-2022-33980
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:cloudbees:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2022/11/15
漏洞发布日期: 2022/11/15
参考资料信息
CVE: CVE-2022-33980, CVE-2022-38666, CVE-2022-45379, CVE-2022-45380, CVE-2022-45381, CVE-2022-45382, CVE-2022-45383, CVE-2022-45384, CVE-2022-45385, CVE-2022-45386, CVE-2022-45387, CVE-2022-45388, CVE-2022-45389, CVE-2022-45390, CVE-2022-45391, CVE-2022-45392, CVE-2022-45393, CVE-2022-45394, CVE-2022-45395, CVE-2022-45396, CVE-2022-45397, CVE-2022-45398, CVE-2022-45399, CVE-2022-45400, CVE-2022-45401