The version of Jenkins Enterprise or Jenkins Operations Center running on the remote web server is 2.222.x prior to 2.222.43.0.1, 2.249.x prior to 2.249.30.0.1, or 2.x prior to 2.263.2.2. It is, therefore, affected by multiple vulnerabilities, including the following:

  - Jenkins 2.274 and earlier, LTS 2.263.1 and earlier allows attackers with permission to create or configure     various objects to inject crafted content into Old Data Monitor that results in the instantiation of     potentially unsafe objects once discarded by an administrator. (CVE-2021-21604)

  - Jenkins 2.274 and earlier, LTS 2.263.1 and earlier allows users with Agent/Configure permission to choose     agent names that cause Jenkins to override the global `config.xml` file. (CVE-2021-21605)

  - Jenkins 2.274 and earlier, LTS 2.263.1 and earlier does not correctly match requested URLs to the list of     always accessible paths, allowing attackers without Overall/Read permission to access some URLs as if they     did have Overall/Read permission. (CVE-2021-21609)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Web サーバーで実行されている Jenkins Enterprise または Jenkins Operations Center のバージョンは、2.222.43.0.1 より前の 2.222.x、2.249.30.0.1 より前の 2.249.x、および 2.263.2.2 より前の 2.x です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - 様々なオブジェクトを作成したり構成したりする権限を持つ攻撃者は、2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSを使って、細工されたコンテンツを古いデータモニタに注入することができます。これにより、管理者が破棄した危険なオブジェクトがインスタンス化されます。（CVE-2021-21604）

  - エージェント/設定の権限を持つユーザーは、2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSを使って、エージェント名を選択することができます。これにより、Jenkinsはグローバル「config.xml」ファイルを上書きします。（CVE-2021-21605）

  - 2.274以前のバージョンのJenkinsや2.263.1以前のバージョンのLTSでは、リクエストされたURLをアクセス可能なパスの一覧と一致させないことがあるため、全般/読み取りのアクセス権限を持っていない攻撃者が、そのような権限があるかのようにいくつかのURLにアクセスすることが可能になります。（CVE-2021-21609）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っています。

远程 Web 服务器上运行的 Jenkins Enterprise 或 Jenkins Operations Center 版本为低于 2.222.43.0.1 的 2.222.x、低于 2.249.30.0.1 的 2.249.x 或低于 2.263.2.2 的 2.x。因此，该应用程序受到多个漏洞的影响，其中包括：

  - Jenkins 2.274 及之前版本、LTS 2.263.1 及之前版本允许具有创建或配置多个对象权限的攻击者将构建的内容注入 Old Data Monitor，从而导致可能不安全对象的实例化被管理员丢弃。(CVE-2021-21604)

  - Jenkins 2.274 及之前版本、LTS 2.263.1 及之前版本允许具有 Agent/Configure 权限的用户选择导致 Jenkins 覆盖全局“config.xml”文件的代理名称。(CVE-2021-21605)

  - Jenkins 2.274 及之前版本、LTS 2.263.1 及之前版本未正确将请求的 URL 与始终可访问路径的列表匹配，从而导致没有整体/读取权限的攻击者可以访问某些 URL，如同他们具有整体/读取权限一般。(CVE-2021-21609)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

遠端 Web 伺服器上執行的 Jenkins Enterprise 或 Jenkins Operations Center 版本為早於 2.222.43.0.1 的 2.222.x 版本、早於 2.249.30.0.1 的 2.249.x 版本，或是早於 2.263.2.2 的 2.x 版本。因此會受到包括以下在內的多個弱點影響：

  - Jenkins 2.274 和更舊版本、LTS 2.263.1 和更舊版本允許具有多種物件建立或設定權限的攻擊者，將特製內容插入舊資料監視器，一旦被系統管理員捨棄，可能導致具有潛在不安全性的物件具現化。(CVE-2021-21604)

  - Jenkins 2.274 和更舊版本、LTS 2.263.1 和更舊版本允許具有代理程式/組態權限的使用者選擇代理程式名稱，這可以造成 Jenkins 覆寫全域「config.xml」檔案。(CVE-2021-21605)

  - Jenkins 2.274 和更舊版本、LTS 2.263.1 和更舊版本未正確比對要求的 URL 與一律可存取的路徑清單，進而允許不具「全面/讀取」權限的攻擊者存取某些 URL，就像其擁有「全面/讀取」權限一樣。(CVE-2021-21609)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
155715	Jenkins Enterprise and Operations Center < 2.222.43.0.1 / 2.249.30.0.1 / 2.263.2.2 Multiple Vulnerabilities (CloudBees Security Advisory 2021-01-13)	Nessus	CGI abuses	2021/11/29	2024/6/4	high
155715	Jenkins Enterprise および Operations Center < 2.222.43.0.1 / 2.249.30.0.1 / 2.263.2.2複数の脆弱性 (CloudBees セキュリティアドバイザリ 2021 年 1 月 13 日)	Nessus	CGI abuses	2021/11/29	2024/6/4	high
155715	Jenkins Enterprise 和 Operations Center < 2.222.43.0.1/2.249.30.0.1/2.263.2.2 多个漏洞（CloudBees 安全公告 2021-01-13）	Nessus	CGI abuses	2021/11/29	2024/6/4	high
155715	Jenkins Enterprise and Operations Center < 2.222.43.0.1/2.249.30.0.1/2.263.2.2 多個弱點 (CloudBees 安全公告 2021-01-13)	Nessus	CGI abuses	2021/11/29	2024/6/4	high

偵測

搜尋 Plugin

high

high

high

high