Jenkins Plugin 多個弱點 (2024-05-02)
high Nessus Plugin ID 194914
語系：
概要
遠端 Web 伺服器上執行的應用程式受到多個弱點的影響說明
根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：- 高 Script Security 外掛程式提供沙箱功能，可讓低權限的使用者定義通常可以安全執行的指令碼 (包括管道)。在沙箱指令碼內定義的程式碼呼叫會遭到攔截，並檢查各種許可清單，以確定是否允許呼叫。
指令碼安全性外掛程式 1335.vf07d9ce377a_e 及更舊版本中存在多個沙箱繞過弱點：
呼叫其他建構函式的特製建構函式主體可用於透過隱含轉換建構任何可子類別化的類型。沙箱定義的 Groovy 類別遮蔽特定非沙箱定義的類別，可用來建構任何可子分類的類型。這些弱點允許具有定義和執行沙箱指令碼 (包括管道) 權限的攻擊者繞過沙箱保護，並在 Jenkins 控制器 JVM 的內容中執行任意程式碼。這些問題是因為 SECURITY-2824 的修正不完整所造成。指令碼安全性外掛程式 1336.vf33a_a_9863911 具有其他限制和功能健全檢查，可確保超級建構函式在沒有被沙箱攔截的情況下無法建構：沙箱現在會攔截對使用此建構函式的其他建構函式的呼叫。攔截超級建構函式呼叫時，沙箱不再忽略套件中可由 Groovy 定義的類別遮蔽的類別。(CVE-2024-34144、CVE-2024-34145)
- 中等 Git 伺服器外掛程式 114.v068a_c7cc2574 和更舊版本未針對透過 SSH 讀取 Git 存放庫的存取權執行權限檢查。此動作允許具有先前設定 SSH 公開金鑰但缺少 Overall/Read 權限的攻擊者存取 Git 存放庫。Git 伺服器外掛程式 117.veb_68868fa_027 需要 Overall/Read 權限，才能透過 SSH 存取 Git 存放庫。 (CVE-2024-34146)
- 低 Telegram Bot Plugin 1.4.0 和更舊版本將未加密的 Telegram Bot token 儲存在 Jenkins 控制器上的全域設定檔 jenkinsci.plugins.telegrambot.TelegramBotGlobalConfiguration.xml 中，作為其組態的一部分。具有 Jenkins 控制器檔案系統存取權的使用者可檢視此權杖。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。
(CVE-2024-34147)
- 每當從具有「Svn-Partial Release Manager」SCM 的版本標籤觸發構建時，中等 Subversion Partial Release Manager Plugin 1.0.1 和更舊版本都會以程式設計方式設定 Java 系統屬性 hudson.model.ParametersAction.keepUndefinedParameters。如此會停用 SECURITY-170 / CVE-2016-3721 的修正。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。
(CVE-2024-34148)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
將 Jenkins plugin 升級至下列版本：- 將 Git 伺服器外掛程式升級至 117.veb_68868fa_027 或更新版本
- 將指令碼安全性外掛程式升級為 1336.vf33a_a_9863911 或更新版本
- Subversion Partial Release Manager Plugin：請參閱供應商公告
- Telegram Bot Plugin：請參閱供應商公告
請參閱供應商公告以取得詳細資料。
另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 194914
檔案名稱: jenkins_security_advisory_2024-05-02_plugins.nasl
版本: 1.0
類型: combined
代理程式: windows, macosx, unix
系列: CGI abuses
已發布: 2024/5/2
已更新: 2024/5/2
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 9
時間分數: 6.7
媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2024-34145
CVSS v3
風險因素: High
基本分數: 8.8
時間分數: 7.7
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必要的 KB 項目: installed_sw/Jenkins
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2024/5/2
弱點發布日期: 2024/5/2
參考資訊
CVE: CVE-2024-34144, CVE-2024-34145, CVE-2024-34146, CVE-2024-34147, CVE-2024-34148