Jenkins Security Advisory : DescriptionSECURITY-412 through SECURITY-420 / CVE-2017-1000356 CSRF: Multiple vulnerabilities SECURITY-429 / CVE-2017-1000353 CLI: Unauthenticated remote code execution SECURITY-466 / CVE-2017-1000354 CLI: Login command allowed impersonating any Jenkins user SECURITY-503 / CVE-2017-1000355 XStream: Java crash when trying to instantiate void/Void

The version of Jenkins running on the remote web server is prior to 2.57 or is a version of Jenkins LTS prior to 2.46.2, or else it is a version of Jenkins Enterprise that is 1.625.x.y prior to 1.625.24.1, 1.651.x.y prior to 1.651.24.1, 2.7.x.0.y prior to 2.7.24.0.1, or 2.x.y.z prior to 2.46.2.1. It is, therefore, affected by multiple vulnerabilities :

  - A remote code execution vulnerability exists within     core/src/main/java/jenkins/model/Jenkins.java that     allows an untrusted serialized Java SignedObject to be     transfered to the remoting-based Jenkins CLI and     deserialized using a new ObjectInputStream. By using a     specially crafted request, an unauthenticated, remote     attacker can exploit this issue to bypass existing     blacklist protection mechanisms and execute arbitrary     code. (CVE-2017-1000353)

  - A flaw exists in the remoting-based CLI, specifically in     the ClientAuthenticationCache.java class, when storing     the encrypted username of a successfully authenticated     user in a cache file that is used to authenticate     further commands. An authenticated, remote attacker who     has sufficient permissions to create secrets in Jenkins     and download their encrypted values can exploit this     issue to impersonate any other Jenkins user on the same     instance. (CVE-2017-1000354)

  - A denial of service vulnerability exists in the XStream     library. An authenticated, remote attacker who has     sufficient permissions, such as creating or configuring     items, views or jobs, can exploit this to crash the Java     process by using specially crafted XML content.
    (CVE-2017-1000355)

  - Cross-site request forgery (XSRF) vulnerabilities exist     within multiple Java classes due to a failure to require     multiple steps, explicit confirmation, or a unique token     when performing certain sensitive actions. An     unauthenticated, remote attacker can exploit these to     perform several administrative actions by convincing a     user into opening a specially crafted web page.
    (CVE-2017-1000356)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 web 服务器上运行的 Jenkins 版本低于 2.57，或为低于 2.46.2 的 Jenkins LTS 版本，或是低于 1.625.24.1 的 1.625.x.y、低于 1.651.24.1 的 1.651.x.y、低于 2.7.x.0.y 的 2.7.24.0.1 或低于 2.46.2.1 的 2.x.y.z 版 Jenkins Enterprise。因此，该服务器受到多个漏洞的影响：

  - core/src/main/java/jenkins/model/Jenkins.java 中存在远程代码执行漏洞，可导致不受信任的序列化 Java SignedObject 传输至基于远程的 Jenkins CLI，并通过新的 ObjectInputStream 进行反序列化。未经身份验证的远程攻击者可利用此问题，通过使用特别构建的请求，绕过现有黑名单保护机制，并执行任意代码。(CVE-2017-1000353)

  - 在将已成功通过身份验证的用户的加密用户名存储在缓存文件中，用于验证更多命令时，基于远程的 CLI 中（具体而言，在 ClientAuthenticationCache.java 类中）存在一个缺陷。经过身份验证且有足够权限在 Jenkins 中创建密码和下载其加密值的远程攻击者可利用此问题，冒充同一实例中的任何其他 Jenkins 用户。(CVE-2017-1000354)

  - XStream 库中存在拒绝服务漏洞。具有充分权限（比如创建或配置项目、视图或工作）且经过身份验证的远程攻击者，可利用此问题通过特制 XML 内容损毁 Java 进程。
    (CVE-2017-1000355)

  - 多个 Java 类中存在跨站请求伪造 (XSRF) 漏洞，这是执行某些敏感操作时未能要求多个步骤、明确确认或唯一令牌所致。未经身份验证的远程攻击者可利用这些问题，通过诱使用户打开特制的网页，执行一系列管理操作。
    (CVE-2017-1000356)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

遠端網頁伺服器上執行的 Jenkins 版本比 2.57 舊，或是比 2.46.2 舊的 Jenkins LTS 版本，或執行的是比 1.625.24.1 舊的 1.625.x.y、比 1.651.24.1 舊的 1.651.x.y、比 2.7.24.0.1 舊的 2.7.x.0.y 或比 2.46.2.1 舊的 2.x.y.z 的 Jenkins Enterprise 版本。因此，該應用程式受到多個弱點影響：

  - core/src/main/java/jenkins/model/Jenkins.java 中存在一個遠端程式碼執行弱點，其允許將不受信任的序列化 Java SignedObject 傳輸到遠端型 Jenkins CLI 並使用新的 ObjectInputStream 還原序列化。透過使用特製要求，未經驗證的遠端攻擊者可惡意利用此問題，繞過現有的封鎖清單保護機制及執行任意程式碼。(CVE-2017-1000353)

  - 在將成功通過驗證的使用者的加密使用者名稱儲存在快取檔案中，以供驗證進一步命令時，遠端型 CLI (尤其是 ClientAuthenticationCache.java 類別) 中存在一個缺陷。具有充分權限在 Jenkins 中建立密碼及下載其加密值的經驗證遠端攻擊者可惡意利用此問題，在相同執行個體上模擬其他 Jenkins 使用者。(CVE-2017-1000354)

  - XStream 庫中存在一個拒絕服務弱點。經驗證並具備足夠權限 (例如建立或設定項目、檢視或工作) 的遠端攻擊者可加以惡意利用，藉著使用特製的 XML 內容造成 Java 處理程序損毀。
    (CVE-2017-1000355)

  - 多個 Java 類別內存在跨網站要求偽造 (XSRF) 弱點，這是由於執行特定敏感動作時，無法要求多個步驟、明確確認或唯一 token 所致。未經驗證的遠端攻擊者可惡意利用這些弱點，誘騙使用者透過開啟特製網頁而執行數個系統管理動作。
    (CVE-2017-1000356)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

Jenkins セキュリティアドバイザリ：説明SECURITY-412からSECURITY-420/CVE-2017-1000356CSRF:複数の脆弱性SECURITY-429/CVE-2017-1000353CLI:認証されていないリモートコードの実行SECURITY-466/CVE-2017-1000354CLI:ログインコマンドにより、Jenkinsユーザーのなりすましが可能になりましたSECURITY-503/CVE-2017-1000355XStream:void/Voidをインスタンス化しようとするとJavaがクラッシュします

リモートWebサーバーで実行されているJenkinsのバージョンが2.57より前であるか、Jenkins LTSのバージョンが2.46.2より前であるか、Jenkins Enterpriseのバージョンが1.625.24.1より前の1.625.x.y、1.651.24.1より前の1.651.x.y、2.7.24.0.1より前の2.7.x.0.y、または2.46.2.1より前の2.x.y.zです。したがって、以下の複数の脆弱性による影響を受けます。

  - リモートでコードが実行される脆弱性がcore/src/main/java/jenkins/model/Jenkins.javaにあるため、信頼されていないシリアル化されたJava SignedObjectがリモートJenkins CLIに送信されたり、新しいObjectInputStreamを使用して逆シリアル化されたりする可能性があります。認証されていないリモートの攻撃者がこの問題を悪用し、特別に細工したリクエストを使用し、既存のブラックリスト防御メカニズムを回避し、任意のコードを実行する可能可能性があります。（CVE-2017-1000353）

  -後続のコマンドの認証に利用するため、正常に認証されたユーザーのユーザー名を暗号化してキャッシュファイルに格納するとき、リモートCLI、特にClientAuthenticationCache.javaクラスに欠陥があります。Jenkinsでシークレットを作成し、暗号化された値をダウンロードできる十分な権限を持つリモートの攻撃者がこの問題を悪用し、同じインスタンス上の他のJenkinsユーザーになりすます可能性があります。（CVE-2017-1000354）

  -サービス拒否の脆弱性がXStreamライブラリにあります。アイテム、ビュー、ジョブの作成や構成などの権限を持つ認証されたリモートの攻撃者が、これを悪用し、特別に細工したXMLコンテンツを使用してJavaプロセスをクラッシュさせる可能性があります。
    （CVE-2017-1000355）

  -注意を要する特定のアクションを実行するとき、複数の手順、明示的な確認、または一意のトークンを要求しないため、クロスサイトリクエスト偽造（XSRF）の脆弱性が複数のJavaクラス内にあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工したWebページを開くようにユーザーを誘導し、いくつかの管理アクションを実行する可能性があります。
    （CVE-2017-1000356）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
99698	FreeBSD : jenkins -- multiple vulnerabilities (631c4710-9be5-4a80-9310-eb2847fe24dd)	Nessus	FreeBSD Local Security Checks	2017/4/27	2021/1/4	critical
99984	Jenkins < 2.46.2 / 2.57 and Jenkins Enterprise < 1.625.24.1 / 1.651.24.1 / 2.7.24.0.1 / 2.46.2.1 Multiple Vulnerabilities	Nessus	CGI abuses	2017/5/4	2024/6/5	critical
99984	Jenkins < 2.46.2 / 2.57 and Jenkins Enterprise < 1.625.24.1 / 1.651.24.1 / 2.7.24.0.1 / 2.46.2.1 多个漏洞	Nessus	CGI abuses	2017/5/4	2024/6/5	critical
99984	Jenkins < 2.46.2 / 2.57 和 Jenkins Enterprise < 1.625.24.1 / 1.651.24.1 / 2.7.24.0.1 / 2.46.2.1 多個弱點	Nessus	CGI abuses	2017/5/4	2024/6/5	critical
99698	FreeBSD: jenkins -- 複数の脆弱性（631c4710-9be5-4a80-9310-eb2847fe24dd）	Nessus	FreeBSD Local Security Checks	2017/4/27	2021/1/4	critical
99984	Jenkins < 2.46.2/2.57とJenkins Enterprise < 1.625.24.1/1.651.24.1/2.7.24.0.1/2.46.2.1の複数の脆弱性	Nessus	CGI abuses	2017/5/4	2024/6/5	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical