CVE-2016-3721、CVE-2016-3722、CVE-2016-3723、CVE-2016-3724、CVE-2016-3725、CVE-2016-3726、CVE-2016-3727 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 更新系統網站擷取前置描述區塊。
Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2016:1773 公告中提及的多個弱點影響。

  - Apache HttpComponents client / Apache CXF：SSL 主機名稱驗證繞過，未完成 CVE-2012-6153 修正 (CVE-2014-3577)

  - apache-commons-collections：在還原序列化期間執行 InvokerTransformer 程式碼 (CVE-2015-7501)

  - jenkins：remoting 模組中的遠端程式碼執行弱點 (SECURITY-232) (CVE-2016-0788)

  - jenkins：HTTP 回應分割弱點 (SECURITY-238) (CVE-2016-0789)

  - jenkins：API token 的非常數時間比較 (SECURITY-241) (CVE-2016-0790)

  - jenkins：CSRF Crumb 的非常數時間比較 (SECURITY-245) (CVE-2016-0791)

  - jenkins：透過遠端 API 執行遠端程式碼 (SECURITY-247) (CVE-2016-0792)

  - jenkins：任意構建參數會作為環境變數傳遞給構建指令碼 (SECURITY-170) (CVE-2016-3721)

  - jenkins：擁有多個使用者帳戶的惡意使用者可防止其他使用者登入 (SECURITY-243) (CVE-2016-3722)

  - jenkins：透過 API 洩漏已安裝外掛程式的相關資訊 (SECURITY-250) (CVE-2016-3723)

  - jenkins：加密的密鑰 (例如密碼) 被洩漏給擁有讀取組態權限的使用者 (SECURITY-266) (CVE-2016-3724)

  - jenkins：一般使用者可觸發更新網站中繼資料的下載 (SECURITY-273) (CVE-2016-3725)

  - jenkins：開放重新導向至配置相關的 URL (SECURITY-276) (CVE-2016-3726)

  - jenkins：授予讀取節點組態的權限，允許存取整個系統組態 (SECURITY-281) (CVE-2016-3727)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Jenkins 安全性公告：DescriptionSECURITY-170 / CVE-2016-3721 將任意版本參數以環境變數形式傳遞給版本指令碼 SECURITY-243 / CVE-2016-3722 具有多個使用者帳戶的惡意使用者可防止其他使用者登入 SECURITY-250 / CVE-2016-3723 透過 API 揭露的已安裝外掛程式資訊 SECURITY-266 / CVE-2016-3724 加密金鑰 (例如：密碼) 會洩漏給有權限讀取組態的使用者 SECURITY-273 / CVE-2016-3725 一般使用者可觸發下載更新網站詮釋資料 SECURITY-276 / CVE-2016-3726 開放重新導向給配置相關的 URL SECURITY-281 / CVE-2016-3727 授予讀取節點組態的權限會允許存取整體系統組態。

現已提供適用於 Red Hat OpenShift Enterprise 3.2 的更新版 Jenkins 套件和影像，其中包含安全性修正。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat 的 OpenShift Enterprise 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。安全性修正：* Jenkins 持續整合伺服器已更新至 1.651.2 LTS 上游版本，可解決大量安全性問題，包括開放重新導向、可能拒絕服務、未安全處理使用者提供的環境變數，以及數個敏感資訊洩漏實例。(CVE-2016-3721、CVE-2016-3722、CVE-2016-3723、CVE-2016-3724、CVE-2016-3725、CVE-2016-3726、CVE-2016-3727) 如需變更清單，請參閱〈參照〉一節列出的變更記錄。此更新包含下列影像：openshift3/jenkins-1-rhel7:1.651.2-4 建議所有 OpenShift Enterprise 3.2 使用者皆升級至更新版套件和影像。

ID	名稱	產品	系列	已發布	已更新	嚴重性
92215	Fedora 24：jenkins (2016-fd6100dd68)	Nessus	Fedora Local Security Checks	2016/7/14	2021/1/11	high
92210	Fedora 22：jenkins (2016-f7e7a6067d)	Nessus	Fedora Local Security Checks	2016/7/14	2021/1/11	high
92131	Fedora 23：jenkins (2016-9ba53cf8a2)	Nessus	Fedora Local Security Checks	2016/7/14	2021/1/11	high
119378	RHEL 6：Red Hat OpenShift Enterprise 2.2.10 (RHSA-2016:1773)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/4/21	critical
91066	FreeBSD：jenkins -- 多個弱點 (e387834a-17ef-11e6-9947-7054d2909b71)	Nessus	FreeBSD Local Security Checks	2016/5/12	2021/1/4	high
119375	RHEL 7：jenkins (RHSA-2016:1206)	Nessus	Red Hat Local Security Checks	2018/12/4	2022/2/1	high

偵測

搜尋 Plugin

high

high

high

critical

high

high