遠端 Web 伺服器上執行的 Jenkins Enterprise 或 Jenkins Operations Center 版本為早於 2.222.43.0.4 的 2.222.x 版本、早於 2.249.30.0.4 的 2.249.x 版本，或是早於 2.277.2.3 的 2.x 版本。因此會受到包括以下在內的多個弱點影響：

  - Micro Focus 應用程式自動化工具外掛程式 Jenkins 外掛程式中存在反射式 XSS 弱點。此弱點會影響所有 6.7 版和更舊版本。(CVE-2021-22510)

  - Micro Focus 應用程式自動化工具外掛程式 Jenkins 外掛程式中存在憑證驗證不當弱點。此弱點會影響 6.7 版和更舊版本。此弱點允許無條件停用 SSL/TLS 憑證。(CVE-2021-22511)

  - Micro Focus 應用程式自動化工具外掛程式 Jenkins 外掛程式中存在跨網站要求偽造 (CSRF) 弱點。此弱點會影響 6.7 版和更舊版本。此弱點允許在沒有權限檢查的情況下進行表單驗證。(CVE-2021-22512)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7/8 主機上安裝的套件受到 RHSA-2021: 2437 公告中提及的多個弱點影響。

  - python-eventlet：不當處理高度壓縮的資料，並且記憶體大小配置過大，這會觸發 DoS 攻擊 (CVE-2021-21419)

  - jenkins-2-plugins/matrix-auth: 矩陣授權策略外掛程式中的權限檢查不正確 (CVE-2021-21623)

  - jenkins：代理程式相關的 REST API 中缺少類型驗證 (CVE-2021-21639)

  - jenkins：檢視名稱驗證繞過 (CVE-2021-21640)

  - jenkins-2-plugins/credentials: Credentials 外掛程式中存在反射式 XSS 弱點 (CVE-2021-21648)

  - kubernetes：驗證 Admission Webhook 時未遵循之前的某些欄位 (CVE-2021-25735)

  - kubernetes：EndpointSlice 驗證中的漏洞可導致主機網路劫持 (CVE-2021-25737)

  - golang：crypto/elliptic：P-224 曲線上的錯誤作業 (CVE-2021-3114)

  - gogo/protobuf：plugin/unmarshal/unmarshal.go 缺少特定的索引驗證 (CVE-2021-3121)

  - openshift：插入的 service-ca.crt 錯誤包含其他內部 CA (CVE-2021-3636)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins 是 Jenkins LTS 2.277.2 之前版本或 Jenkins 每週版的 2.287 之前版本。因此，會受到多個弱點影響：

  - 在 Jenkins 2.286 和更舊版本、LTS 2.277.1 和更舊版本中，系統不會驗證在載入提交至「config.xml」REST API 節點端點的資料後所建立的物件類型，具有 Computer/Configure 權限的攻擊者可以利用此弱點以其中一個不同類型取代節點。(CVE-2021-21639)

  - 在 Jenkins 2.286 和更舊版本、LTS 2.277.1 和更舊版本中，系統不會正確檢查新建立的檢視是否具有允許的名稱，具有檢視/建立權限的攻擊者會利用此弱點建立含有無效或已使用名稱的檢視。(CVE-2021-21640)

  - Jenkins 升級建置外掛程式 3.9 和更舊版本中有一個跨網站要求偽造 (CSRF) 弱點，允許攻擊者提升建置。(CVE-2021-21641)     
  - Micro Focus 應用程式自動化工具外掛程式 Jenkins 外掛程式中存在憑證驗證不當弱點。此弱點會影響 6.7 版和更舊版本。此弱點允許無條件停用 SSL/TLS 憑證。(CVE-2021-22511)     
  - Micro Focus 應用程式自動化工具外掛程式 Jenkins 外掛程式中存在跨網站要求偽造 (CSRF) 弱點。此弱點會影響 6.7 版和更舊版本。此弱點允許在沒有權限檢查的情況下進行表單驗證。(CVE-2021-22512)     
  - Micro Focus 應用程式自動化工具外掛程式 Jenkins 外掛程式中存在驗證缺失弱點。此弱點會影響 6.7 版和更舊版本。此弱點允許在沒有權限檢查的情況下執行存取。(CVE-2021-22513)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7/8 主機上安裝的套件受到 RHSA-2021: 1551 公告中提及的多個弱點影響。

  - golang：math/big：在非常大的數字進行遞迴分割時發生錯誤 (CVE-2020-28362)

  - jenkins：代理程式相關的 REST API 中缺少類型驗證 (CVE-2021-21639)

  - jenkins：檢視名稱驗證繞過 (CVE-2021-21640)

  - jetty：符號連結目錄洩漏 webapp 目錄內容 (CVE-2021-28163)

  - jetty：收到無效的大型 TLS 框架時資源耗盡 (CVE-2021-28165)

  - golang：crypto/elliptic：P-224 曲線上的錯誤作業 (CVE-2021-3114)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
155586	Jenkins Enterprise and Operations Center < 2.222.43.0.4 / 2.249.30.0.4 / 2.277.2.3 多個弱點 (CloudBees 安全性公告 2021-04-07)	Nessus	CGI abuses	2021/11/18	2024/6/4	medium
152103	RHEL 7/8：OpenShift 容器平台 4.8.2 套件和 (RHSA-2021: 2437)	Nessus	Red Hat Local Security Checks	2021/7/27	2024/6/3	high
148418	Jenkins LTS < 2.277.2 / Jenkins 每週版 < 2.287 多個弱點	Nessus	CGI abuses	2021/4/9	2024/6/5	medium
149793	RHEL 7/8：OpenShift Container Platform 4.7.11 (RHSA-2021: 1551)	Nessus	Red Hat Local Security Checks	2021/5/20	2024/6/3	medium

偵測

搜尋 Plugin

medium

high

medium

medium