遠端 Web 伺服器主控比 1.650 舊的 Jenkins 版本、比 1.642.2 舊的 Jenkins LTS 版本、比 1.642.2.1 舊的 1.642.x.y、比 1.625.16.1 舊的 1.625.x.y，或比 1.609.16.1 舊的 1.609.x.y 的其他 Jenkins Enterprise 版本。因此，該應用程式受到以下弱點影響：

  - Jenkins 遠端處理模組中存在一個不明瑕疵。未經驗證的遠端攻擊者可惡意利用此缺陷，在託管 Jenkins 主要處理程序的伺服器上開啟 JRMP 接聽程式，進而允許執行任意程式碼。(CVE-2016-0788)

  - main/java/hudson/cli/CLIAction.java 中存在一個瑕疵，這是因為在 HTTP 回應中包含 CRLF 序列之前，透過 CLI 命令名稱繞過而不當清理 CRLF 序列所導致。未經驗證的遠端攻擊者可惡意利用此缺陷，透過特製 Jenkins URL 發動 HTTP 回應分割攻擊。(CVE-2016-0789)

  - 驗證使用者提供的 API token 時無法使用常數時間比較演算法。未經驗證的遠端攻擊者可惡意利用此缺陷，透過統計方法判斷有效的 API token，藉此發動暴力密碼破解攻擊來取得使用者憑證的存取權。(CVE-2016-0790)

  - 驗證使用者提供的 XSRF crumbs 時無法使用常數時間比較演算法。未經驗證的遠端攻擊者可加以惡意利用，透過統計方法，判斷有效的 XSRF crumbs，藉此發動暴力密碼破解攻擊來繞過跨網站要求偽造保護機制。
    (CVE-2016-0791)

  - groovy.runtime.MethodClosure 類別中存在一個瑕疵，這是因未經驗證的 Java 物件對 Commons Collections 程式庫進行不安全的還原序列化呼叫所導致。經過驗證的遠端攻擊者可惡意利用此缺陷，透過將特製的 XML 檔案張貼到特定 API 端點，來執行任意程式碼。(CVE-2016-0792)

偵測

Jenkins < 1.642.2 / 1.650 和 Jenkins Enterprise < 1.609.16.1 / 1.625.16.1 / 1.642.2.1 多個弱點

critical Nessus Plugin ID 89925

版本 1.14