RHEL 8：OpenShift Container Platform 4.9.56 (RHSA-2023:0777)

critical Nessus 插件 ID 193747

语言：

简介

远程 Red Hat 主机缺少 OpenShift Container Platform 4.9.56 的一个或多个安全更新。

描述

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2023:0777 公告中提及的多个漏洞影响。

- google-oauth-client：根据 Native Apps 的 RFC for OAuth 2.0，缺少 PKCE 支持会导致不当授权 (CVE-2020-7692)

- SnakeYaml：构造函数反序列化远程代码执行 (CVE-2022-1471)

- http2-server：无效的 HTTP/2 请求导致 DoS (CVE-2022-2048)

- snakeyaml：由于缺少集合的嵌套深度限制而导致的拒绝服务漏洞 (CVE-2022-25857)

- Jenkins 插件：脚本安全插件中存在 CSRF 漏洞 (CVE-2022-30946)

- Jenkins 插件：Pipeline SCM API for Blue Ocean 插件将用户范围的凭据泄露给其他用户 (CVE-2022-30952)

- Jenkins 插件：Blue Ocean 插件中存在 CSRF 漏洞 (CVE-2022-30953)

- Jenkins 插件：Blue Ocean 插件中缺少权限检查 (CVE-2022-30954)

- jenkins：可观察到的时序差异允许确定用户名有效性 (CVE-2022-34174)

- jenkins-plugin：org.jenkins-ci.plugins:git 中存在跨站请求伪造 (CSRF) 漏洞 (CVE-2022-36882)

- jenkins 插件：Git 插件 Webhook 中缺少身份验证机制（CVE-2022-36883、CVE-2022-36884）

- jenkins 插件：GitHub 插件中存在非常量时间 Webhook 签名比较 (CVE-2022-36885)

- jenkins-plugin/script-security：Jenkins 脚本安全插件中存在沙盒绕过漏洞（CVE-2022-43401、CVE-2022-43403、CVE-2022-43404）

- jenkins-plugin/workflow-cps：Pipeline 中存在沙盒绕过漏洞：Groovy 插件 (CVE-2022-43402)

- jenkins-plugin/pipeline-groovy-lib：Pipeline 中存在沙盒绕过漏洞：Groovy Libraries 插件 (CVE-2022-43405)

- jenkins-plugin/workflow-cps-global-lib：Pipeline 中存在沙盒绕过漏洞：已弃用的 Groovy 库插件 (CVE-2022-43406)

- jenkins-plugin/pipeline-input-step：可在 Pipeline 中绕过针对任何 URL 的 CSRF 保护：Input Step 插件 (CVE-2022-43407)

- jenkins-plugin/pipeline-stage-view：可在 Pipeline 中绕过针对任何 URL 的 CSRF 保护：Stage View 插件 (CVE-2022-43408)

- jenkins-plugin/workflow-support：Pipeline 中存在存储型 XSS 漏洞：支持性 API 插件 (CVE-2022-43409)

- mina-sshd：Java 不安全反序列化漏洞 (CVE-2022-45047)

- jenkins-plugin/script-security：易受 SHA-1 冲突影响的脚本安全插件中的完整脚本批准 (CVE-2022-45379)

- jenkins-plugin/JUnit：JUnit 插件中的存储型 XSS 漏洞 (CVE-2022-45380)

- jenkins-plugin/pipeline-utility-steps：Pipeline Utility Steps 插件中的任意文件读取漏洞 (CVE-2022-45381)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。