遠端網頁伺服器主控受到多個弱點影響的一個 Jenkins 或 Jenkins Enterprise 版本：

  - 預設標記格式器中存在一個缺陷，其允許透過使用者組態中的「Description」欄位，發動跨網站指令碼攻擊。(CVE-2013-5573)

  - 存在一個安全性繞過弱點，其允許經過驗證的遠端攻擊者變更組態，並執行任意工作。(CVE-2013-7285、CVE-2013-7330、CVE-2014-2058)

  - Winstone servlet 中存在一個不明缺陷，其允許遠端攻擊者劫持工作階段。(CVE-2014-2060)

  - PasswordParameterDefinition 中存在一個輸入控制缺陷，其允許遠端攻擊者洩漏密碼等敏感資訊。(CVE-2014-2061)

  - 因為在刪除使用者時，未使 API token 失效所導致的一個安全性繞過弱點。
    (CVE-2014-2062)

  - 存在一個不明缺陷，其允許遠端攻擊者進行點擊劫持攻擊。(CVE-2014-2063)

  - loadUserByUsername 函式中存在一個資訊洩漏弱點，其允許遠端攻擊者透過與登入嘗試失敗相關的向量，判斷某個使用者是否存在。(CVE-2014-2064)

  - 因為對 'iconSize' cookie 的不當輸入驗證而導致的一個跨網站指令碼弱點。
    (CVE-2014-2065)

  - 存在一個工作階段固定弱點，其允許遠端攻擊者劫持 Web 工作階段。(CVE-2014-2066)

  - hudson/util/RemotingDiagnostics.java 之 doIndex 函式中存在一個資訊洩漏弱點，其允許擁有「系統管理員」權限之經過驗證的遠端使用者透過 heapDump 取得敏感資訊。(CVE-2014-2068)

此更新可套用反向移植的上游修補程式，藉此修正遠端程式碼執行安全性弱點。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Web 伺服器上主控的 Artifactory 版本比 3.1.1.1 舊。因此，它會使用有已知遠端程式碼執行弱點的程式庫。

現已提供更新版 jasperreports-server-pro 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization 報告，套件提供了一組預先設定的報告和儀表板，可讓您監控系統。報告模組是以 JasperReports 和 JasperServer 為基礎，也可用於建立特定報告。

XStream 是 Red Hat Enterprise Virtualization 報告套件所使用的簡單程式庫，用於將物件序列化為 XML 和從 XML 取消序列化。

據發現，XStream 可取消序列化任意使用者提供的 XML 內容 (表示任何類型的物件)。遠端攻擊者若能傳送 XML 至 XStream，即可利用此瑕疵發動各種攻擊，包括在執行 XStream 應用程式的伺服器之內容中執行遠端程式碼。(CVE-2013-7285)

建議所有 jasperreports-server-pro 使用者皆升級至此更新版套件，其中包含可更正此問題的反向移植修補程式。

根據其自我報告的版本號碼判斷，遠端主機上安裝的 JFrog Artifactory 版本為 7.10.1 之前版本。因此受到多個弱點影響：

  - 如果安全性架構尚未初始化，Xstream API 1.4.6 及之前版本和 1.4.10 版可能允許遠端攻擊者在解組 XML 或任何支援的格式 (例如 JSON) 時，透過操控所處理的輸入資料流來執行任意 shell 命令。(CVE-2013-7285)

  - 在 1.4.9 之前的 XStream 中，Dom4JDriver、DomDriver、JDomDriver、JDom2Driver、SjsxpDriver、StandardStaxDriver 和 WstxDriver 驅動程式中存在多個 XML 外部實體 (XXE) 弱點，遠端攻擊者可利用這些弱點，透過建構的 XML 文件讀取任意檔案。(CVE-2016-3674)

  - 如果不使用特定 denyTypes 因應措施，1.4.9 及之前版本的 XStream 會在解除封送期間錯誤處理對於建立原始類型「void」執行個體的嘗試，進而導致遠端應用程式損毀，xstream.fromXML 呼叫即為一例。(CVE-2017-7957)

  - 在遇到特別建構的輸入時，Apache Commons Compress 1.15 至 1.18 內部使用的檔案名稱編碼演算法可能會進入無限迴圈。如果攻擊者可以在由 Compress 所建立的封存內選擇檔案名稱，則可導致拒絕服務攻擊。(CVE-2019-12402)

  - 在 Atlassian Crowd 3.6.2 之前版本、3.7.0 至 3.7.1 版本中，OpenID 用戶端應用程式允許遠端攻擊者透過 XML 實體擴展弱點發動拒絕服務攻擊。(CVE-2019-20104)

  - 在 Go 1.13.13 之前版本以及 1.14.x 的 1.14.5 之前版本中，某些 net/http 伺服器中有資料爭用情形，httputil.ReverseProxy 處置程式即為一例，原因在於它會同時讀取要求內文並寫入回應。(CVE-2020-15586)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

Jenkins 安全性公告報告：

此公告宣布在 Jenkins 核心中所發現的多個安全性弱點。

- iSECURITY-105

在一些位置，Jenkins XML API 會使用 XStream 來還原序列化任意內容，其受到針對 XStream 報告的 CVE-2013-7285 影響。
這可讓具有一組有限權限之 Jenkins 的惡意使用者在 Jenkins 主機內執行任意程式碼。

- SECURITY-76 & SECURITY-88 / CVE-2013-5573

對使用者可編輯內容之 HTML 標籤的限制太寬鬆。這可讓 Jenkins 的惡意使用者誘騙其他不知情的使用者提供敏感資訊。

- SECURITY-109

在 SECURITY-55 的之前修正中插入漏洞。在某些情況下，Jenkins 的惡意使用者可設定工作 X 來觸發使用者無權存取的另一個工作 Y。

- SECURITY-108

CLI 工作建立有一個目錄遊走弱點。這可讓具有一組有限權限之 Jenkins 的惡意使用者在 Jenkins 主機中覆寫檔案並提升權限。

- SECURITY-106

內嵌的 Winstone Servlet 容器容易受到工作階段劫持攻擊。

- SECURITY-93

Jenkins UI 中密碼參數定義內的密碼輸入控制會提供 HTML 中密碼的實際值，而不是加密的值。如果敏感值設定為此類參數定義的預設值，可將其洩漏給非預期的對象。

- SECURITY-89

刪除使用者不會使 API token 失效，進而允許使用者在其不得存取 Jenkins 時執行此存取操作。

- SECURITY-80

Jenkins UI 容易受到點擊劫持攻擊。

- SECURITY-79

「Jenkins 自己的使用者資料庫」會揭露在登入嘗試失敗時存在/不存在使用者。

- SECURITY-77

Jenkins 的其中一個 cookie 中有一個跨網站指令碼弱點。如果部署 Jenkins 的環境允許攻擊者覆寫受害者瀏覽器內的 Jenkins Cookie，則此弱點會遭到惡意利用。

- SECURITY-75

Jenkins 容易受到工作階段固定攻擊。如果部署 Jenkins 的環境允許攻擊者覆寫受害者瀏覽器內的 Jenkins Cookie，則此弱點會遭到惡意利用。

- SECURITY-74

已存 XSS 弱點。具有一組特定權限之 Jenkins 的惡意使用者可造成 Jenkins 儲存任意 HTML 片段。

- SECURITY-73

某些系統診斷功能會檢查其權限是否比應該擁有的少。在非常有限的情況下，這可造成攻擊者取得其不應擁有存取權的資訊。

嚴重性

- SECURITY-106 和 SECURITY-80 評為高。攻擊者只需要伺服器的直接 HTTP 存取權，便可掛載此攻擊。

- SECURITY-105、SECURITY-109、SECURITY-108 和 SECURITY-74 評為高。這些弱點允許具有有效 Jenkins 使用者帳戶的攻擊者以多種方式提升權限。

- SECURITY-76、SECURIT-88 和 SECURITY-89 評為中等。這些弱點需要攻擊者為 Jenkins 的使用者，且攻擊的模式受到限制。

- SECURITY-93 和 SECURITY-79 評為低。這些弱點只會影響一小部分 Jenkins 且造成的影響有限。

- SECURITY-77、SECURITY-75 和 SECURITY-73 評為低。這些弱點難以惡意利用，除非與網路中的其他惡意利用搭配使用。

遠端主機受到 GLSA-201612-35 中所述的弱點影響 (XStream：遠端任意程式碼執行) 據發現，XStream 會將任意使用者提供的 XML 內容還原序列化，進而顯示任何類型的物件。影響：遠端攻擊者可將特製的 XML 文件傳送到 XStream，進而可能導致以處理程序的權限執行任意程式碼或導致拒絕服務情形。因應措施：目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
72685	Jenkins < 1.551 / 1.532.2 和 Jenkins Enterprise 1.509.x / 1.532.x < 1.509.5.1 / 1.532.2.2 多個弱點	Nessus	CGI abuses	2014/2/25	2024/6/5	high
72629	Fedora 19 : xstream-1.3.1-5.1.fc19 (2014-2340)	Nessus	Fedora Local Security Checks	2014/2/23	2021/1/11	critical
72630	Fedora 20 : xstream-1.3.1-9.fc20 (2014-2372)	Nessus	Fedora Local Security Checks	2014/2/23	2021/1/11	critical
72966	Artifactory < 3.1.1.1 XStream 遠端程式碼執行	Nessus	CGI abuses	2014/3/12	2024/6/4	critical
79007	RHEL 6 : jasperreports-server-pro (RHSA-2014:0389)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	critical
144307	JFrog < 7.10.1 多個弱點	Nessus	Misc.	2020/12/16	2022/12/5	critical
72528	FreeBSD：jenkins -- 多個弱點 (3e0507c6-9614-11e3-b3a5-00e0814cab4e)	Nessus	FreeBSD Local Security Checks	2014/2/17	2021/1/6	critical
95738	GLSA-201612-35：XStream：遠端任意程式碼執行	Nessus	Gentoo Local Security Checks	2016/12/13	2021/1/11	critical

偵測

搜尋 Plugin

high

critical

critical

critical

critical

critical

critical

critical