Jenkins 插件多个漏洞（2024 年 1 月 24 日）
high Nessus 插件 ID 189462
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：- Jenkins Git 服务器插件 99.va_0826a_b_cdfa_d 及更早版本未禁用其命令解析器的某项功能，该功能可将参数中后接文件路径的“@”字符替换为文件内容，从而允许具有“整体/读取”权限攻击者读取 Jenkins 控制器文件系统中的任意文件。(CVE-2024-23899)
- Jenkins Matrix Project Plugin 822.v01b_8c85d16d2 及更早版本不会审查多配置项目的用户定义 Axis 名称，这让具有“项目/配置”权限的攻击者能够在 Jenkins 控制器文件系统上创建或替换任何 config.xml 文件（文件内容不受攻击者控制）。
(CVE-2024-23900)
- Jenkins GitLab Branch Source Plugin 684.vea_fa_7c1e2fe3 及更早版本可无条件发现与配置的所有者群组共享的项目，这让攻击者能够配置和共享项目，继而导致 Jenkins 在下一次扫描群组时构建特制的管道。(CVE-2024-23901)
- Jenkins GitLab Branch Source 插件 684.vea_fa_7c1e2fe3 及更早版本中存在一个跨站请求伪造 (CSRF) 漏洞，该漏洞允许攻击者连接到其指定的 URL。(CVE-2024-23902)
- Jenkins GitLab Branch Source 插件 684.vea_fa_7c1e2fe3 及更早版本在检查提供的 Webhook 标记和预期的 Webhook 标记是否相等时会使用非常量时间比较函数，这可能允许攻击者使用统计方法获取有效的 Webhook 标记。(CVE-2024-23903)
- 已确认适用于策略合规性的 Qualys Jenkins 插件 1.0.5 及更早版本会受到安全缺陷影响，即在执行 Qualys 云服务的连接检查时，缺少权限检查。这导致任何具有登录访问权限和配置/编辑作业访问权限的用户均可利用该插件配置潜在的 Rouge 端点，他们可通过此类端点控制对某些请求的响应，这些请求在系统处理响应数据时可随着指向 XSS 的 XSS 负载一起被注入 (CVE-2023-6148)
- 已确认适用于策略合规性的 Qualys Jenkins 插件 1.0.5 及更早版本会受到安全缺陷影响，即在执行 Qualys 云服务的连接检查时，缺少权限检查。这导致任何具有配置/编辑作业登录访问权限的用户均可利用该插件配置潜在的 Rouge 端点，他们可通过此类端点控制对某些请求的响应，这些请求在系统处理响应数据时可随着指向 XXE 的 XXE 负载一起被注入 (CVE-2023-6147)
- Jenkins Red Hat Dependency Analytics 插件 0.7.1 及更早版本以编程方式禁用对 Jenkins 提供用于下载的工作区、存档项目等中用户生成的内容的 Content-Security-Policy 保护。(CVE-2024-23905)
- Jenkins Log Command 插件 1.0.2 及更早版本未禁用其命令解析器的某项功能，该功能可将参数中后接文件路径的“@”字符替换为文件内容，从而允许未经身份验证的攻击者读取 Jenkins 控制器文件系统中的任意文件的内容。
(CVE-2024-23904)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
将 Jenkins 插件更新到以下版本：- 将 Git 服务器插件更新到 99.101.v720e86326c09 或更高版本
- 将 GitLab Branch Source 插件更新到 688.v5fa_356ee8520 或更高版本
- Log Command 插件：参见供应商公告
- 将 Matrix Project 插件更新到 822.824.v14451b_c0fd42 或更高版本
- 将 Qualys Policy Compliance Scanning Connector 插件更新到 1.0.6 或更高版本
- 将 Red Hat Dependency Analytics 插件更新到 0.9.0 或更高版本
有关更多详细信息，请参阅供应商公告。
另见
插件详情
严重性: High
ID: 189462
文件名: jenkins_security_advisory_2024-01-24_plugins.nasl
版本: 1.1
类型: combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2024/1/24
最近更新时间: 2024/1/30
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 分数来源: CVE-2024-23904
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:cloudbees:jenkins, cpe:/a:jenkins:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2024/1/24
漏洞发布日期: 2024/1/9
参考资料信息
CVE: CVE-2023-6147, CVE-2023-6148, CVE-2024-23899, CVE-2024-23900, CVE-2024-23901, CVE-2024-23902, CVE-2024-23903, CVE-2024-23904, CVE-2024-23905