远程 Web 服务器上运行的 Jenkins Enterprise 或 Jenkins Operations Center 版本为低于 2.346.40.0.6 的 2.346.x 或低于 2.361.3.4 的 2.x。因此，该应用程序受到多个漏洞的影响，其中包括：

  - snakeyaml 上的 CVE-2022-38751（修复了系列 2.346.x.0.z）(BEE-23728)

  - snakeyaml 上的 CVE-2022-38749（修复了系列 2.346.x.0.z）(BEE-23729)

  - Pipeline Utility Steps 插件中的远程代码执行漏洞 (CVE-2022-33980)

  - NS-ND Integration Performance Publisher 插件无条件禁用 SSL/TLS 证书验证 (CVE-2022-38666)

  - 易受 SHA-1 冲突影响的脚本安全插件中的完整脚本批准 (CVE-2022-45379)

  - JUnit 插件中的存储型 XSS 漏洞 (CVE-2022-45380)

  - Pipeline Utility Steps 插件中的任意文件读取漏洞 (CVE-2022-45381)

  - Naginator 插件中的存储型 XSS 漏洞 (CVE-2022-45382)

  - Support Core 插件中不正确的权限检查 (CVE-2022-45383)

  - Reverse Proxy Auth 插件以纯文本形式存储密码 (CVE-2022-45384)

  - CloudBees Docker Hub/Registry Notification 插件中缺少 webhook 认证机制 (CVE-2022-45385)

  - Violations 插件中的代理上的 XXE 漏洞 (CVE-2022-45386)

  - BART 插件中的存储型 XSS 漏洞 (CVE-2022-45387)

  - Config Rotator 插件中的任意文件读取漏洞 (CVE-2022-45388)

  - XP-Dev 插件中缺少 webhook 认证机制 (CVE-2022-45389)

  - loader.io 插件中缺少权限检查允许枚举凭据 ID (CVE-2022-45390)

  - NS-ND Integration Performance Publisher 插件无条件且在全局禁用 SSL/TLS 证书验证 (CVE-2022-45391)

  - NS-ND Integration Performance Publisher 插件以纯文本形式存储密码 (CVE-2022-45392)

  - Delete log 插件中的 CSRF 漏洞和缺少的权限检查（CVE-2022-45393、CVE-2022-45394）

  - CCCC 插件中的代理上的 XXE 漏洞 (CVE-2022-45395)

  - SourceMonitor 插件中的代理上的 XXE 漏洞 (CVE-2022-45396)

  - OSF Builder Suite 中的代理上的 XXE 漏洞：: XML Linter 插件 (CVE-2022-45397)

  - Cluster Statistics 插件中的 CSRF 漏洞和缺少的权限检查（CVE-2022-45398、CVE-2022-45399）

  - JAPEX 插件中的 XXE 漏洞 (CVE-2022-45400)

  - Associated Files 插件中的存储型 XSS 漏洞 (CVE-2022-45401)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Jenkins Enterprise 和 Operations Center 2.346.x < 2.346.40.0.6 / 2.361.3.4 多个漏洞（CloudBees 安全公告 2022-11-15）

critical Nessus 插件 ID 167634

版本 1.4