根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins 外掛程式版本受到多個弱點影響：

  - Jenkins Script Security Plugin 1189.vb_a_b_7c8fd5fde 及更早版本會將完整指令碼核准儲存為指令碼的 SHA-1 雜湊，因而容易受到衝突攻擊。(CVE-2022-45379)

  - Jenkins JUnit Plugin 1159.v0b_396e1e07dd 及更早版本會以不安全的方式將測試報告輸出中的 HTTP(S) URL 轉換為可點擊的連結，這會導致具有「Item/Configure」權限的攻擊者可利用的儲存型跨網站指令碼 (XSS) 弱點。(CVE-2022-45380)

  - Apache Commons Configuration 可執行變數插補，允許動態評估和展開內容。插補的標準格式為 ${prefix: name}，其中 prefix 用於尋找執行插補的 org.apache.commons.configuration2.interpol.Lookup 執行個體。從 2.4 版直到 2.7 版，預設的 Lookup 執行個體組包含可導致任意程式碼執行或與遠端伺服器聯絡的內插程式。這些 Lookup 是：- script - 使用 JVM 指令碼執行引擎 (javax.script) 執行運算式 - dns
    - 解析 dns 記錄 - url - 從 url 載入值，包括從遠端伺服器載入。使用受影響版本中內插預設值的應用程式可能容易遭受遠端程式碼執行攻擊，或是意外連絡遠端伺服器 (如果使用未受信任的組態值)。建議使用者升級至 Apache Commons Configuration 2.8.0，其預設停用有問題的內插程式。(CVE-2022-33980)

  - Jenkins Pipeline Utility Steps Plugin 2.13.1 及更早版本未限制已啟用的前置插補的設定和預設啟用 'file:' 前置插補的 Apache Commons Configuration 庫隨附版本，這會讓攻擊者可以將 Pipelines 設定為讀取 Jenkins 控制器檔案系統中的任意檔案。(CVE-2022-45381)

  - Jenkins Naginator Plugin 1.18.1 及更早版本未逸出透過「重試」動作觸發的建置中來源建置的顯示名稱，這會導致能夠編輯建置顯示名稱的攻擊者可利用的儲存型跨網站指令碼 (XSS) 弱點。(CVE-2022-45382)

  - Jenkins Support Core Plugin 1206.v14049fa_b_d860 及更早版本中存在錯誤權限檢查弱點，具有「Support/DownloadBundle」權限的攻擊者可藉此下載之前建立的包含僅限具有「Overall/Administer」權限的使用者存取之資訊的支援套件。(CVE-2022-45383)

  - Jenkins Reverse Proxy Auth Plugin 1.7.3 及更早版本會將未加密的 LDAP 管理員密碼儲存在 Jenkins 控制器的全域 config.xml 檔案中，而具有 Jenkins 控制器檔案系統存取權的使用者可以檢視這些密碼。(CVE-2022-45384)

  - Jenkins CloudBees Docker Hub/Registry Notification Plugin 2.6.2 及更早版本缺少權限檢查，未經驗證的攻擊者可藉此觸發與攻擊者指定的存放庫對應的工作建置。(CVE-2022-45385)

  - Jenkins NS-ND Integration Performance Publisher Plugin 4.8.0.143 及更早版本會將未加密的密碼儲存在 Jenkins 控制器的工作 config.xml 檔案中，而具有「Extended Read」權限或具有 Jenkins 控制器檔案系統存取權的攻擊者可以檢視這些密碼。(CVE-2022-45392)

  - Jenkins NS-ND Integration Performance Publisher Plugin 4.8.0.143 及更早版本會針對整個 Jenkins controller JVM 全域無條件停用 SSL/TLS 憑證和主機名稱驗證。
    (CVE-2022-45391)

  - Jenkins NS-ND Integration Performance Publisher Plugin 4.8.0.146 及更早版本會針對數個功能全域無條件停用 SSL/TLS 憑證和主機名稱驗證。(CVE-2022-38666)

  - Jenkins Violations Plugin 0.7.11 及更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。(CVE-2022-45386)

  - Jenkins BART  Plugin 1.0.3 及更早版本未逸出建置記錄的剖析內容，便在 Jenkins UI 上轉譯該內容，這會導致儲存型跨網站指令碼 (XSS) 弱點。(CVE-2022-45387)

  - Jenkins Config Rotator Plugin 2.0.1 及更早版本未限制 HTTP 端點中的檔案名稱查詢參數，未經驗證的攻擊者可藉此讀取 Jenkins 控制器檔案系統上副檔名為「.xml」的任意檔案。(CVE-2022-45388) 

  - Jenkins XP-Dev Plugin 1.0 及更早版本缺少權限檢查，未經驗證的攻擊者可藉此觸發與攻擊者指定的存放庫對應的工作建置。(CVE-2022-45389)

  - Jenkins loader.io Plugin 1.0.1 及更早版本缺少權限檢查，具有「Overall/Read」權限的攻擊者可藉此列舉 Jenkins 中所儲存憑證的憑證 ID。(CVE-2022-45390)

  - Jenkins Delete log Plugin 1.0 及更早版本中存在跨網站要求偽造 (CSRF) 弱點，攻擊者可利用此弱點刪除建置記錄。(CVE-2022-45393)

  - Jenkins Delete log Plugin 1.0 及更早版本缺少權限檢查，具有「Item/Read」權限的攻擊者可藉此刪除建置記錄。(CVE-2022-45394)

  - Jenkins CCCC Plugin 0.6 及更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。(CVE-2022-45395)

  - Jenkins SourceMonitor Plugin 0.2 及更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。(CVE-2022-45396)

  - Jenkins OSF Builder Suite : : XML Linter Plugin 1.0.2 及更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。(CVE-2022-45397)

  - Jenkins Cluster Statistics Plugin 0.4.6 及更早版本中存在跨網站要求偽造 (CSRF) 弱點，攻擊者可藉此刪除記錄的 Jenkins Cluster Statistics。(CVE-2022-45398)

  - Jenkins Cluster Statistics Plugin 0.4.6 及更早版本缺少權限檢查，攻擊者可藉此刪除記錄的 Jenkins Cluster Statistics。(CVE-2022-45399)

  - Jenkins JAPEX Plugin 1.7 及更早版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。(CVE-2022-45400)

  - Jenkins Associated Files Plugin 0.2.1 及更早版本不會逸出關聯檔案的名稱，因而會導致具有「Item/Configure」權限的攻擊者可利用的儲存型跨網站指令碼 (XSS) 弱點。
    (CVE-2022-45401)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Jenkins 外掛程式多個弱點 (2022 年 11 月 15 日)

critical Nessus Plugin ID 179362

版本 1.0