自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているJenkinsのバージョンは、2.289.2より前のJenkins LTSまたは2.300より前のJenkins weeklyです。そのため、以下の複数の脆弱性の影響を受けます。

  - Jenkinsの2.299 以前、LTS 2.289.1以前では、アイテム/読み取り権限がない場合でも、ユーザーがキューアイテムをキャンセルし、アイテム/キャンセルの権限があるジョブのビルドを中止できますJenkins 2.300、LTS 2.289.2 では、ユーザーがアイテム/キャンセル権限に加えて、該当するタイプのアイテム/読み取り権限を持つ必要があります。Jenkinsの以前のバージョンでの回避策として、アイテム/読み取り権限を持たないユーザーにアイテム/キャンセル権限を付与しないでください。（CVE-2021-21670）

  - Jenkinsの 2.299以前、LTSの2.289.1以前では、ログイン時に既存のセッションが無効になることはありません。これにより、攻撃者がソーシャルエンジニアリング技術を使用して、Jenkinsへの管理者アクセス権を取得する可能性があります。この脆弱性は、Jenkins 2.266 およびLTS 2.277.1で持ち込まれした。Jenkins 2.300、LTS 2.289.2 は、ログイン時に既存のセッションを無効にします。注：問題が発生した場合、管理者はJavaシステムプロパティhudson.security.SecurityRealm.sessionFixationProtectionModeを2に設定することで異なる実装を選択することやそのシステムプロパティを0に設定することで修正を完全に無効にすることもできます。（CVE-2021-21671）

  -Selenium HTML report Plugin 1.0 以前は、XML外部エンティティ（XXE）攻撃を防ぐためのXMLパーサーを構成していません。これにより、このプラグインを使用して解析されたレポートファイルを制御できる攻撃者が、Jenkinsコントローラーまたはサーバー側のリクエスト偽造から秘密を抽出するために外部エンティティを使用する細工されたレポートファイルをJenkinsに解析させる可能性があります。Selenium HTMLレポートプラグイン 1.1 は、XMLパーサーの外部エンティティ解決を無効にします。（CVE-2021-21672）

  - CASプラグイン 1.6.0 以前は、ログイン後のリダイレクトURLが正当にJenkinsを指示していると不適切に判断します。これにより、攻撃者がフィッシング攻撃を実行し、ユーザーをJenkins URLに移動させ、認証成功後に別のサイトにユーザーを転送することがかのうです。CASプラグイン 1.6.1 は、相対（Jenkins）URLにのみリダイレクトします。（CVE-2021-21673）

  -request-pluginプラグイン 2.2.6 以前は、HTTPエンドポイントで権限チェックを実行しません。これにより、Overall Read権限を持つ攻撃者が保留中のリクエストのリストを閲覧する可能性があります。requests-pluginプラグイン 2.2.7が保留中のリクエストのリストを表示するには、Overall/Read権限が必要です。（CVE-2021-21674）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

According to its its self-reported version number, the version of Jenkins running on the remote web server is Jenkins LTS prior to 2.289.2 or Jenkins weekly prior to 2.300. It is, therefore, affected by multiple vulnerabilities:

  - Jenkins 2.299 and earlier, LTS 2.289.1 and earlier allows users to cancel queue items and abort builds of     jobs for which they have Item/Cancel permission even when they do not have Item/Read permission. Jenkins     2.300, LTS 2.289.2 requires that users have Item/Read permission for applicable types in addition to     Item/Cancel permission. As a workaround on earlier versions of Jenkins, do not grant Item/Cancel     permission to users who do not have Item/Read permission. (CVE-2021-21670)

  - Jenkins 2.299 and earlier, LTS 2.289.1 and earlier does not invalidate the existing session on login. This     allows attackers to use social engineering techniques to gain administrator access to Jenkins. This     vulnerability was introduced in Jenkins 2.266 and LTS 2.277.1. Jenkins 2.300, LTS 2.289.2 invalidates the     existing session on login. Note In case of problems, administrators can choose a different implementation     by setting the Java system property hudson.security.SecurityRealm.sessionFixationProtectionMode to 2, or     disable the fix entirely by setting that system property to 0. (CVE-2021-21671)

  - Selenium HTML report Plugin 1.0 and earlier does not configure its XML parser to prevent XML external     entity (XXE) attacks. This allows attackers with the ability to control the report files parsed using this     plugin to have Jenkins parse a crafted report file that uses external entities for extraction of secrets     from the Jenkins controller or server-side request forgery. Selenium HTML report Plugin 1.1 disables     external entity resolution for its XML parser. (CVE-2021-21672)

  - CAS Plugin 1.6.0 and earlier improperly determines that a redirect URL after login is legitimately     pointing to Jenkins. This allows attackers to perform phishing attacks by having users go to a Jenkins URL     that will forward them to a different site after successful authentication. CAS Plugin 1.6.1 only     redirects to relative (Jenkins) URLs. (CVE-2021-21673)

  - requests-plugin Plugin 2.2.6 and earlier does not perform a permission check in an HTTP endpoint. This     allows attackers with Overall/Read permission to view the list of pending requests. requests-plugin Plugin     2.2.7 requires Overall/Read permission to view the list of pending requests. (CVE-2021-21674)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins 是 Jenkins LTS 2.289.2 之前版本或 Jenkins 每週版的 2.300 之前版本。因此，會受到多個弱點影響：

  - 在 Jenkins 2.299 和更舊版本、LTS 2.289.1 和更舊版本中，使用者可以取消佇列項目，並中止其擁有「項目/取消」權限的作業版本，即使他們沒有「項目/讀取」權限亦如此。在 Jenkins 2.300 和 LTS 2.289.2 中，除了「項目/取消」權限外，使用者還必須擁有適用類型的「項目/讀取」權限。作為舊版 Jenkins 的因應措施，請勿向沒有「項目/讀取」權限的使用者授予「項目/取消」權限。(CVE-2021-21670)

  - Jenkins 2.299 和更舊版本、LTS 2.289.1 和更舊版本不會在登錄時讓現有工作階段無效。攻擊者可利用此弱點，使用社交工程技術來取得 Jenkins 的系統管理員存取權。此弱點是在 Jenkins 2.266 和 LTS 2.277.1 中引入的。Jenkins 2.300、LTS 2.289.2 會在登入時使現有工作階段無效。注意：若發生問題，系統管理員可將 Java 系統屬性 hudson.security.SecurityRealm.sessionFixationProtectionMode 設定為 2，藉此選擇其他實作，或將系統屬性設定為 0，以完全停用該修正。(CVE-2021-21671)

  - Seleium HTML 報告外掛程式 1.0 和更舊版本未設定其 XML 剖析器，以防止 XML 外部實體 (XXE) 攻擊。能夠控制使用此外掛程式剖析之報告檔案的攻擊者可利用此弱點，讓 Jenkins 剖析使用外部實體的特製報告檔案，以便從 Jenkins 控制器擷取機密或發動伺服器端要求偽造攻擊。Seleium HTML 報告外掛程式 1.1 會停用針對其 XML 剖析器的外部實體解析。(CVE-2021-21672)

  - CAS 外掛程式 1.6.0 和更舊版本會錯誤判斷登入後的重新導向 URL 合法指向 Jenkins。攻擊者可利用此弱點發動網路釣魚攻擊，讓使用者前往 Jenkins URL，而此 URL 會在成功驗證後將使用者轉送到其他網站。CAS 外掛程式 1.6.1 僅重新導向至相對的 (Jenkins) URL。(CVE-2021-21673)

  - requests-plugin 外掛程式 2.2.6 及更舊版本不會在 HTTP 端點中執行權限檢查。具有「整體/讀取」權限的攻擊者可利用此弱點檢視擱置中的要求清單。 requests-plugin 外掛程式 2.2.7 要求使用者具有「整體/讀取」權限才能檢視擱置中的要求清單。(CVE-2021-21674)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.289.2，或低于 Jenkins weekly 2.300。因此，该应用程序受到多个漏洞的影响：

  - 即使用户不具有“项目/读取”权限，也可利用 Jenkins 2.299 和更早版本、LTS 2.289.1 和更早版本取消队列项目并中止其拥有“项目/取消”权限的作业生成。Jenkins 2.300 LTS 2.289.2 要求用户除了拥有“项目/取消”权限之外，还需拥有适用类型的“项目/读取”权限。作为对 Jenkins 早期版本的变通方案，请勿向没有“项目/读取”权限的用户授予“项目/取消”权限。(CVE-2021-21670)

  - Jenkins 2.299 和更早版本、LTS 2.289.1 和更早版本在登录时不会使现有会话失效。攻击者可借此使用社交工程技术来获取 Jenkins 的管理员访问权限。此漏洞在 Jenkins 2.266 和 LTS 2.277.1 中引入。登录时，Jenkins 2.300 和 LTS 2.289.2 会使现有会话失效。注意：如果出现问题，管理员可以通过将 Java 系统属性 hudson.security.SecurityRealm.sessionFixationProtectionMode 设置为 2 来选择不同的实现，或者通过将该系统属性设置为 0 来完全禁用该修复。(CVE-2021-21671)

  - Seleium HTML 报告插件 1.0 及更早版本未配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击。能够使用此插件控制所解析的报告文件的攻击者可借此让 Jenkins 解析构建的报告文件，该报告文件使用外部实体从 Jenkins 控制器或服务器端请求伪造中提取密钥。Seleium HTML 报告插件 1.1 禁用其 XML 解析器的外部实体解析。 (CVE-2021-21672)

  - CAS插件 1.6.0 及更早版本未正确确定登录后的重定向 URL 是否合法指向 Jenkins。攻击者可借此让用户访问 Jenkins URL，进而在用户成功进行身份验证后将其转发至其他站点，从而执行钓鱼攻击。CAS 插件 1.6.1 仅重定向至相关 (Jenkins) URL。 (CVE-2021-21673)

  - requests-plugin 插件 2.2.6 及更早版本未在 HTTP 端点中执行权限检查。具有“整体/读取”权限的攻击者可借此查看待定请求列表。 requests-plugin 插件 2.2.7 需要“整体/读取”权限才能查看待定请求列表。(CVE-2021-21674)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
151193	Jenkins LTS < 2.289.2 / Jenkins weekly < 2.300の複数の脆弱性	Nessus	CGI abuses	2021/6/30	2024/6/5	high
151193	Jenkins LTS < 2.289.2 / Jenkins weekly < 2.300 Multiple Vulnerabilities	Nessus	CGI abuses	2021/6/30	2024/6/5	high
151193	Jenkins LTS < 2.289.2 / Jenkins 每週版 < 2.300 多個弱點	Nessus	CGI abuses	2021/6/30	2024/6/5	high
151193	Jenkins LTS < 2.289.2 / Jenkins weekly < 2.300 多个漏洞	Nessus	CGI abuses	2021/6/30	2024/6/5	high

偵測

搜尋 Plugin

high

high

high

high