Jenkins Enterprise 和 Operations Center 2.346.x < 2.346.40.0.12 多個弱點 (CloudBees 2023-03-21-security-advisory 安全公告)
critical Nessus Plugin ID 173193
語系：
概要
遠端網頁伺服器上託管的工作排程與管理系統受到多個弱點影響。說明
遠端 Web 伺服器上執行的 Jenkins Enterprise 或 Jenkins Operations Center 版本為低於 2.346.40.0.12 的 2.346.x 版。因此，該主機會受到多個弱點影響，包括：- Jenkins 中的普通權限可以啟用和停用。某些權限預設為停用，例如，Overall/Manage 或 Item/Extended Read。使用者無法直接授予停用的權限，只能透過隱含的更高權限授予 (例如，Overall/Administer 或 Item/Configure)。角色型授權策略 Plugin 587.v2872c41fa_e51 及更早版本可以授予已停用的權限。這可讓攻擊者在下列作業發生後，擁有更大的存取權：直接或透過群組將權限授予攻擊者。例如，透過指令碼主控台停用此權限。角色型授權策略 Plugin 587.588.v850a_20a_30162 不會授予已停用的權限。(CVE-2023-28668)
- 高 - JaCoCo Plugin 3.3.2 及更早版本不會逸出 UI 上顯示的類別和方法名稱。這會導致儲存型跨網站指令碼 (XSS) 弱點，能夠控制「Record JaCoCo coverage report」構建後動作的輸入檔案的攻擊者可利用此弱點。JaCoCo Plugin 3.3.2.1 會逸出 UI 上顯示的類別和方法名稱。(CVE-2023-28669)
- 高 - Pipeline Aggregator View Plugin 1.13 及更早版本不會在內嵌 JavaScript 中逸出表示目前檢視 URL 的變數。這會導致儲存型跨網站指令碼 (XSS) 弱點，經驗證的具有 Overall/Read 權限的攻擊者可利用此弱點。Pipeline Aggregator View Plugin 1.14 能夠以不易遭受 XSS 攻擊的方式取得目前的 URL。(CVE-2023-28670)
- 中等 - OctoPerf Load Testing Plugin 4.5.0 及更早版本不需要向連線測試 HTTP 端點提出 POST 要求，這會導致跨網站要求偽造 (CSRF) 弱點。攻擊者可藉此使用透過另一種方法取得的攻擊者指定憑證 ID，連線至攻擊者指定的 URL，進而擷取儲存在 Jenkins 中的憑證。OctoPerf Load Testing Plugin 4.5.1 需要向受影響的連線測試 HTTP 端點提出 POST 要求。
(CVE-2023-28671)
- 高 - OctoPerf Load Testing Plugin 4.5.1 及更早版本不會在連線測試 HTTP 端點中執行權限檢查。這會讓具有 Overall/Read 權限的攻擊者使用透過另一種方法取得的攻擊者指定憑證 ID，連線至攻擊者指定的 URL，進而擷取儲存在 Jenkins 中的憑證。OctoPerf Load Testing Plugin 4.5.2 在存取受影響的連線測試 HTTP 端點時，會正確執行權限檢查。(CVE-2023-28672)
- 中等 - OctoPerf Load Testing Plugin 4.5.2 及更早版本不會在 HTTP 端點中執行權限檢查。這會讓具有 Overall/Read 權限的攻擊者列舉 Jenkins 中已儲存憑證的憑證 ID。這些弱點可作為攻擊的一部分，利用另一個弱點來擷取憑證。在 OctoPerf Load Testing Plugin 4.5.3 中，列舉憑證 ID 需要有適當的權限。(CVE-2023-28673)
- 中等 - OctoPerf Load Testing Plugin 4.5.2 及更早版本不會在數個 HTTP 端點中執行權限檢查。具有 Overall/Read 權限的攻擊者可藉此使用攻擊者指定的憑證連線至之前設定的 Octoperf 伺服器。此外，這些端點不需要 POST 要求，這可導致跨網站要求偽造 (CSRF) 弱點。OctoPerf Load Testing Plugin 4.5.3 需要受影響的 HTTP 端點的 POST 要求和適當權限。
(CVE-2023-28674、CVE-2023-28675)
- 高 - Convert To Pipeline Plugin 1.0 及更早版本在將 Freestyle 專案轉換爲管線時，不需要向 HTTP 端點提出 POST 要求，這會導致跨網站要求偽造 (CSRF) 弱點。此弱點允許攻擊者根據 Freestyle 專案建立管線。
結合 SECURITY-2966，這可導致攻擊者執行未經沙箱處理的管線指令碼。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。(CVE-2023-28676)
- 高 - Convert To Pipeline Plugin 1.0 及更早版本使用基本字串串連將 Freestyle 專案的構建環境、構建步驟和構建後動作轉換為等同的管線步驟叫用。這讓攻擊者能夠設定 Freestyle 專案，以準備特製的組態，將 Pipeline 指令碼插入由 Convert To Pipeline Plugin 轉換產生的 (未經沙箱處理的) 管線。如果系統管理員將 Freestyle 專案轉換為管線，則會預先核准此指令碼。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。
(CVE-2023-28677)
- 高 - Cppcheck Plugin 1.26 及更早版本未從 Cppcheck 報告檔案逸出檔案名稱便將其顯示在 Jenkins UI 上。這會導致儲存型跨網站指令碼 (XSS) 弱點，能夠控制報告檔案內容的攻擊者可利用此弱點。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。(CVE-2023-28678)
- 高 - Mashup Portlets Plugin 1.1.2 及更早版本提供 Generic JS Portlet 功能，讓使用者可以使用自訂 JavaScript 運算式填入 portlet。這會導致儲存型跨網站指令碼 (XSS) 弱點，經驗證的具有 Overall/Read 權限的攻擊者可利用此弱點。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。(CVE-2023-28679)
- 高 - Crap4J Plugin 0.9 和更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。能夠控制 Crap 報告檔案內容的攻擊者可藉此讓 Jenkins 剖析使用外部實體的特製 XML 檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。
(CVE-2023-28680)
- 高 - Visual Studio Code Metrics Plugin 1.7 和更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。能夠控制 VS Code Metrics 檔案內容的攻擊者可藉此讓 Jenkins 剖析使用外部實體的特製 XML 檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。截至本公告發布時，尚無修正。
瞭解我們為何宣佈此問題。(CVE-2023-28681)
- 高 - Performance Publisher Plugin 8.09 和更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。能夠控制 PerfPublisher 報告檔案內容的攻擊者可藉此讓 Jenkins 剖析使用外部實體的特製 XML 檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。截至本公告發布時，尚無修正。
瞭解我們為何宣佈此問題。(CVE-2023-28682)
- 高 - Phabricator Differential Plugin 2.1.5 和更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。能夠控制 'Post to Phabricator' 建構後動作覆蓋範圍報告檔案內容的攻擊者可藉此讓 Jenkins 剖析使用外部實體的特製 XML 檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。(CVE-2023-28683)
- 高 - remote-jobs-view-plugin Plugin 0.0.3 和更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。具有 Overall/Read 權限的經驗證的攻擊者可藉此讓 Jenkins 剖析使用外部實體的特製 XML 檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。截至本公告發布時，尚無修正。
瞭解我們為何宣佈此問題。(CVE-2023-28684)
- 高 - AbsInt a Plugin 1.1.0 和更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。能夠控制 'Project File (APX)' 內容的攻擊者可藉此讓 Jenkins 剖析使用外部實體的特製 XML 檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。(CVE-2023-28685)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
將 Jenkins Enterprise 或 Jenkins Operations Center 升級至 2.346.40.0.12 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 173193
檔案名稱: cloudbees-security-advisory-2023-03-21-security-advisory.nasl
版本: 1.1
類型: combined
代理程式: windows, macosx, unix
系列: CGI abuses
已發布: 2023/3/21
已更新: 2023/4/10
組態: 啟用徹底檢查
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: Critical
基本分數: 10
時間分數: 7.4
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2023-28677
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 8.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:cloudbees:jenkins
必要的 KB 項目: installed_sw/Jenkins
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2023/3/21
弱點發布日期: 2023/3/21
參考資訊
CVE: CVE-2023-28668, CVE-2023-28669, CVE-2023-28670, CVE-2023-28671, CVE-2023-28672, CVE-2023-28673, CVE-2023-28674, CVE-2023-28675, CVE-2023-28676, CVE-2023-28677, CVE-2023-28678, CVE-2023-28679, CVE-2023-28680, CVE-2023-28681, CVE-2023-28682, CVE-2023-28683, CVE-2023-28684, CVE-2023-28685