远程 Web 服务器上运行的 Jenkins Enterprise 或 Jenkins Operations Center 版本为低于 2.222.43.0.4 的 2.222.x、低于 2.249.30.0.4 的 2.249.x 或低于 2.277.2.3 的 2.x。因此，该应用程序受到多个漏洞的影响，其中包括：

  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在反射型 XSS 漏洞。该漏洞影响 6.7 及更早版本。(CVE-2021-22510)

  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在不当证书验证漏洞。该漏洞影响 6.7 及更早版本。该漏洞可允许无条件禁用 SSL/TLS 证书。(CVE-2021-22511)

  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在跨站请求伪造 (CSRF) 漏洞。该漏洞影响 6.7 及更早版本。该漏洞可在不进行权限检查的情况下允许表单验证。(CVE-2021-22512)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 / 8 主机上安装的程序包受到 RHSA-2021: 2437 公告中提及的多个弱点影响。

  - python-eventlet：不当处理高度压缩的数据并且内存分配过多导致 DoS (CVE-2021-21419)

  - jenkins-2-plugins/matrix-auth: 矩阵授权策略插件中的权限检查不正确 (CVE-2021-21623)

  - jenkins：代理相关的 REST API 中缺少类型验证 (CVE-2021-21639)

  - jenkins：视图名称验证绕过 (CVE-2021-21640)

  - jenkins-2-plugins/credentials: Credentials 插件中的反射型 XSS 漏洞 (CVE-2021-21648)

  - kubernetes：验证 Admission Webhook 时未遵守之前的某些字段 (CVE-2021-25735)

  - kubernetes：EndpointSlice 验证中的漏洞可导致主机网络劫持 (CVE-2021-25737)

  - golang：crypto/elliptic：P-224 曲线操作错误 (CVE-2021-3114)

  - gogo/protobuf：plugin/unmarshal/unmarshal.go 缺少某些索引验证 (CVE-2021-3121)

  - openshift：注入的 service-ca.crt 错误包含额外的内部 CA (CVE-2021-3636)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.277.2，或低于 Jenkins weekly 2.287。因此，该应用程序受到多个漏洞的影响：

  - Jenkins 2.286 及更早版本和 LTS 2.277.1 及更早版本在加载提交到节点的“config.xml”REST API 端点的数据后，并未验证创建的对象类型，拥有 Computer/Configure 权限的攻击者可利用这一点，将节点替换为其他类型的对象。(CVE-2021-21639)

  - Jenkins 2.286 及更早版本和 LTS 2.277.1 及更早版本未正确检查新创建的视图是否具有允许的名称，拥有 View/Create 权限的攻击者可利用这一点，使用无效或已使用的名称创建视图。(CVE-2021-21640)

  - Jenkins promoted builds Plugin 3.9 及更早版本中存在一个跨站脚本伪造 (CSRF) 漏洞，允许攻击者升级版本。(CVE-2021-21641)     
  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在不当证书验证漏洞。该漏洞影响 6.7 及更早版本。该漏洞可允许无条件禁用 SSL/TLS 证书。(CVE-2021-22511)     
  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在跨站请求伪造 (CSRF) 漏洞。该漏洞影响 6.7 及更早版本。该漏洞可在不进行权限检查的情况下允许表单验证。(CVE-2021-22512)     
  - Micro Focus Application Automation Tools 插件 - Jenkins 插件中存在缺少授权漏洞。该漏洞影响 6.7 及更早版本。该漏洞可在不进行权限检查的情况下允许访问。(CVE-2021-22513)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
155586	Jenkins Enterprise 和 Operations Center < 2.222.43.0.4 / 2.249.30.0.4 / 2.277.2.3 多个漏洞（CloudBees 安全公告 2021-04-07）	Nessus	CGI abuses	2021/11/18	2022/5/6	medium
152103	RHEL 7 / 8：OpenShift Container Platform 4.8.2 程序包和 (RHSA-2021: 2437)	Nessus	Red Hat Local Security Checks	2021/7/27	2023/12/6	high
148418	Jenkins LTS < 2.277.2 / Jenkins weekly < 2.287 多个漏洞	Nessus	CGI abuses	2021/4/9	2022/5/10	medium

检测

插件搜索

medium

high

medium