Jenkins plugin 多個弱點 (2025 年 1 月 22 日)
high Nessus Plugin ID 214537
語言:
概要
遠端 Web 伺服器上執行的應用程式受到多個弱點的影響說明
根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：- Jenkins OpenId Connect Authentication Plugin 4.452.v2849b_d3945fa_ 和更舊版本 (4.438.440.v3f5f201de5dc 除外) 將使用者名稱視為不區分大小寫，進而允許 Jenkins 執行個體上設定了區分大小寫之 OpenID Connect 提供者的攻擊者，可藉由提供僅在字母大小寫上有所不同的使用者名稱，即可以任何使用者的身分登入，進而有可能取得 Jenkins 的系統管理員存取權。(CVE-2025-24399)
- Jenkins Eiffel Broadcaster Plugin 2.8.0 至 2.10.2 (包含兩者) 在簽署作業期間使用認證 ID 作為快取金鑰，進而允許攻擊者能夠在不同的認證儲存區中建立與合法 ID 相同 ID 的認證，以便簽署使用合法認證發布至 RabbitMQ 的事件。(CVE-2025-24400)
- Jenkins Folder-based Authorization Strategy Plugin 217.vd5b_18537403e 及更舊版本未驗證設定為已授予的權限是否已啟用，這可能允許之前被授予權限 (通常是選用的權限，例如 Overall/Manage) 的使用者存取其不再擁有權限的功能。
(CVE-2025-24401)
- Jenkins Azure Service Fabric Plugin 1.6 及更舊版本中存在跨網站要求偽造 (CSRF) 弱點，攻擊者可藉此使用其透過其他方法取得的攻擊者指定的憑證 ID 連接至 Service Fabric URL。(CVE-2025-24402)
- 在 1.6 版之前的 Zoom Jenkins bot plugin 中，敏感資訊的純文字儲存可允許經驗證的使用者透過網路存取洩漏資訊。使用者可以更新至 https://plugins.jenkins.io/zoom/releases/ 最新的版本。(CVE-2025-0142)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
將 Jenkins plugin 升級至下列版本：- Azure Service Fabric Plugin：請參閱供應商公告
- 將 Bitbucket Server Integration Plugin 升級至 4.1.4 或更新版本
- 將 Eiffel Broadcaster Plugin 升級至 2.10.3 版或更新版本
- 資料夾型授權策略外掛程式:請參閱供應商公告
- 將 GitLab 外掛程式升級至 1.9.7 版或更新版本
- 將 OpenId 連線驗證 Plugin 升級至 4.453.v4d7765c854f4 或更新版本
- 將 Zoom Plugin 升級至 1.4 / 1.6 版或更新版本
請參閱供應商公告以取得詳細資料。
另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 214537
檔案名稱: jenkins_security_advisory_2025-01-22_plugins.nasl
版本: 1.3
類型: combined
代理程式: windows, macosx, unix
系列: CGI abuses
已發布: 2025/1/23
已更新: 2025/3/24
支援的感應器: Nessus Agent, Nessus
Enable CGI Scanning: true
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 7.4
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2025-24398
CVSS v3
風險因素: High
基本分數: 8.8
時間性分數: 7.7
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2025-24399
弱點資訊
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必要的 KB 項目: installed_sw/Jenkins
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2025/1/22
弱點發布日期: 2025/1/14
參考資訊
CVE: CVE-2025-0142, CVE-2025-24397, CVE-2025-24398, CVE-2025-24399, CVE-2025-24400, CVE-2025-24401, CVE-2025-24402, CVE-2025-24403