远程 Web 服务器上运行的 Jenkins Enterprise 或 Jenkins Operations Center 版本为低于 2.249.31.0.1-2 的 2.249.x 或低于 2.277.3.1-2 的 2.x。因此，该应用程序受到多个漏洞的影响，其中包括：

  - Jenkins Config File Provider 插件 3.7.0 及更低版本不会将其 XML 解析器配置为阻止 XML 外部实体 (XXE) 攻击。(CVE-2021-21642)的的i

  - Jenkins Config File Provider 插件 3.7.0 和更低版本中存在跨站请求伪造 (CSRF) 漏洞，允许攻击者删除与攻击者指定的 ID 对应的配置文件。(CVE-2021-21644)

  - Jenkins Templating Engine 插件 2.1 及更低版本未使用脚本安全插件保护其管道配置，从而允许具有作业/配置权限的攻击者在 Jenkins 控制器 JVM 的上下文中执行任意代码。(CVE-2021-21646)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 2431 公告中提及的多个漏洞的影响。

  - jetty：本地临时目录劫持漏洞 (CVE-2020-27216)

  - jetty：Gzip 请求膨胀中未正确回收缓冲区 (CVE-2020-27218)

  - jetty：包含多个具有大量质量参数的 Accept 标头的请求可能导致 DoS (CVE-2020-27223)

  - jenkins-2-plugins/config-file-provider: 未配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击。 (CVE-2021-21642)

  - jenkins-2-plugins/config-file-provider: 在多个 HTTP 端点中未正确执行权限检查。(CVE-2021-21643)

  - jenkins-2-plugins/config-file-provider: HTTP 端点不需要 POST 请求，导致跨站请求伪造 (CSRF) 漏洞。 (CVE-2021-21644)

  - jenkins-2-plugins/config-file-provider: 在多个 HTTP 端点中未执行权限检查。
    (CVE-2021-21645)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 2517 公告中提及的多个漏洞的影响。

  - jetty：本地临时目录劫持漏洞 (CVE-2020-27216)

  - jetty：Gzip 请求膨胀中未正确回收缓冲区 (CVE-2020-27218)

  - jetty：包含多个具有大量质量参数的 Accept 标头的请求可能导致 DoS (CVE-2020-27223)

  - jenkins-2-plugins/config-file-provider: 未配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击。 (CVE-2021-21642)

  - jenkins-2-plugins/config-file-provider: 在多个 HTTP 端点中未正确执行权限检查。(CVE-2021-21643)

  - jenkins-2-plugins/config-file-provider: HTTP 端点不需要 POST 请求，导致跨站请求伪造 (CSRF) 漏洞。 (CVE-2021-21644)

  - jenkins-2-plugins/config-file-provider: 在多个 HTTP 端点中未执行权限检查。
    (CVE-2021-21645)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 / 8 主机上安装的程序包受到 RHSA-2021: 2122 公告中提及的多个漏洞影响。

  - golang：某些 net/http 服务器（包括 ReverseProxy）中的数据争用可导致 DoS (CVE-2020-15586)

  - golang：ReadUvarint 和 ReadVarint 可以从无效输入中读取无限数量的字节 (CVE-2020-16845)

  - jenkins-2-plugins/config-file-provider: 未配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击。 (CVE-2021-21642)

  - jenkins-2-plugins/config-file-provider: 在多个 HTTP 端点中未正确执行权限检查。(CVE-2021-21643)

  - jenkins-2-plugins/config-file-provider: HTTP 端点不需要 POST 请求，导致跨站请求伪造 (CSRF) 漏洞。 (CVE-2021-21644)

  - jenkins-2-plugins/config-file-provider: 在多个 HTTP 端点中未执行权限检查。
    (CVE-2021-21645)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
155628	Jenkins Enterprise 和 Operations Center < 2.249.31.0.1-2/2.277.3.1-2 多个漏洞（CloudBees 安全公告 2021-04-21）	Nessus	CGI abuses	2021/11/19	2022/4/11	high
151290	RHEL 7：OpenShift Container Platform 4.5.41 (RHSA-2021: 2431)	Nessus	Red Hat Local Security Checks	2021/7/2	2023/12/11	high
151276	RHEL 7：OpenShift Container Platform 3.11.462 错误修复和 (RHSA-2021: 2517)	Nessus	Red Hat Local Security Checks	2021/7/1	2023/12/11	high
165147	RHEL 7 / 8：OpenShift Container Platform 4.7.13 程序包和 (RHSA-2021: 2122)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/4/28	high

检测

插件搜索

high

high

high

high