RHEL 8：OpenShift Container Platform 4.9.56 (RHSA-2023:0777)

critical Nessus Plugin ID 193747

語系：

概要

遠端 Red Hat 主機缺少一個或多個適用於 OpenShift Container Platform 4.9.56 的安全性更新。

說明

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2023:0777 公告中提及的多個弱點影響。

- google-oauth-client：Native App 中缺少符合 RFC for OAuth 2.0 的 PKCE 支援可能會導致不當授權 (CVE-2020-7692)

- SnakeYaml：建構函式反序列化遠端程式碼執行 (CVE-2022-1471)

- http2-server：無效的 HTTP/2 要求造成 DoS 弱點 (CVE-2022-2048)

- snakeyaml：因遺漏集合的巢狀深度限制而導致拒絕服務 (CVE-2022-25857)

- Jenkins plugin：指令碼安全性 Plugin 中的 CSRF 弱點 (CVE-2022-30946)

- Jenkins plugin：藉由 Pipeline SCM API for BlueOcean Plugin 將使用者範圍內的認證洩漏給其他使用者 (CVE-2022-30952)

- Jenkins plugin：Blue Ocean Plugin 中的 CSRF 弱點 (CVE-2022-30953)

- Jenkins plugin：Blue Ocean Plugin 中缺少權限檢查 (CVE-2022-30954)

- jenkins：可觀察到的定時差異允許判斷使用者名稱的有效性 (CVE-2022-34174)

- Jenkins plugin：org.jenkins-ci.plugins:git 中的跨網站請求偽造 (CSRF) (CVE-2022-36882)

- Jenkins plugin：Git Plugin webhook 中缺少驗證機制 (CVE-2022-36883、 CVE-2022-36884)

- Jenkins plugin：Blue Ocean Plugin 中的非常數時間 webhook 簽章比較 (CVE-2022-36885)

- jenkins-plugin/script-security：Jenkins 指令碼安全性 Plugin 中的沙箱繞過弱點 (CVE-2022-43401、CVE-2022-43403、CVE-2022-43404)

- jenkins-plugin/workflow-cps：Pipeline: Groovy 外掛程式中的沙箱繞過弱點 (CVE-2022-43402)

- jenkins-plugin/pipeline-groovy-lib：工作流程：Groovy Libraries Plugin 中的沙箱繞過弱點 (CVE-2022-43405)

- jenkins-plugin/workflow-cps-global-lib：工作流程：Deprecated Groovy Libraries Plugin 中的沙箱繞過弱點 (CVE-2022-43406)

- jenkins-plugin/pipeline-input-step：可在工作流程：輸入步驟 Plugin 中繞過任何 URL 的 CSRF 保護 (CVE-2022-43407)

- jenkins-plugin/pipeline-stage-view：可在工作流程：階段檢視 Plugin 中繞過任何 URL 的 CSRF 保護 (CVE-2022-43408)

- jenkins-plugin/workflow-support：工作流程：支援 API Plugin 中的已儲存 XSS 弱點 (CVE-2022-43409)

- mina-sshd：Java 不安全的還原序列化弱點 (CVE-2022-45047)

- jenkins-plugin/script-security：Script Security Plugin 中的完整指令碼核准容易受到 SHA-1 碰撞影響 (CVE-2022-45379)

- jenkins-plugin/JUnit：JUnit Plugin 中的已儲存 XSS 弱點 (CVE-2022-45380)

- jenkins-plugin/pipeline-utility-steps：Pipeline Utility Steps Plugin 中的任意檔案讀取弱點 CVE-2022-45381)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。