Jenkins < 1.583 / 1.565.3 和 Jenkins Enterprise 1.532.x / 1.554.x / 1.565.x < 1.532.10.1 / 1.554.10.1 / 1.565.3.1 多個弱點

critical Nessus Plugin ID 78859

語系：

概要

遠端 Web 伺服器主控的一個工作排程和管理系統受到多個弱點影響。

說明

遠端 web 伺服器主控受到多個弱點影響的 Jenkins (開放原始碼) 或 CloudBees Jenkins Enterprise 版本：

- 存在一個與檔案上傳處理方式相關的錯誤，會允許遠端攻擊者覆寫任意檔案。
(CVE-2013-2186)

- 存在一個與已引入「ZeroClipboard」元件相關的輸入驗證錯誤，其會允許跨網站指令碼攻擊。(CVE-2014-1869)

- 存在一個與「CLI 交握」處理方式相關的錯誤，其會允許拒絕服務攻擊。(CVE-2014-3661)

- 存在一個錯誤，其與使用不存在或錯誤的帳戶名稱嘗試登入的情形之處理方式相關，會允許遠端攻擊者列舉應用程式使用者名稱。
(CVE-2014-3662)

- 存在一個錯誤，其與具有「Job/CONFIGURE」權限的使用者之處理方式相關，會允許這類使用者執行僅限「Job/CREATE」權限可執行的動作。
(CVE-2014-3663)

- 存在一個與具有「Overall/READ」權限的使用者之處理方式相關的錯誤，其會允許目錄遍歷攻擊。(CVE-2014-3664)

- 存在一個與「CLI 通道」相關的錯誤，其會允許遠端攻擊者在 Jenkins 主機上執行任意程式碼。(CVE-2014-3666)

- 存在一個與具有「Overall/READ」權限的使用者之處理方式相關的錯誤，其會允許洩漏外掛程式原始程式碼。(CVE-2014-3667)

- 存在一個與「Monitoring」外掛程式相關的輸入驗證錯誤，其會允許跨網站指令碼攻擊。(CVE-2014-3678)

- 存在一個與「Monitoring」外掛程式相關的錯誤，會允許未經授權取得敏感資訊的存取權。
(CVE-2014-3679)

- 存在一個與具有「Job/READ」權限的使用者之處理方式相關的錯誤，其會允許這類使用者取得屬於參數化工作的預設密碼。(CVE-2014-3680)

- 存在一個不明的輸入驗證錯誤，其允許跨網站指令碼攻擊。(CVE-2014-3681)