There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In rare cases Jenkins Plain Credentials Plugin 182.v468b_97b_9dcb_8 and earlier stores secret file
    credentials unencrypted (only Base64 encoded) on the Jenkins controller file system, where they can be
    viewed by users with access to the Jenkins controller file system (global credentials) or with
    Item/Extended Read permission (folder-scoped credentials). (CVE-2024-39459)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 低危：Structs Plugin 提供公用程式功能，例如，在工作流程中用於具現化和設定建構步驟的功能 (通常是在執行步驟之前)。若 Structs Plugin 337.v1b_04ea_4df7c8 和更舊版本無法設定建構步驟，它會記錄包含診斷資訊的警告訊息，其中可能包含作為步驟參數傳遞的密碼。這可導致密碼透過預設系統記錄檔被意外洩漏。Structs Plugin 338.v848422169819 會在記錄這些警告訊息之前檢查實際參數的類型，若涉及密碼，則將詳細的診斷資訊限制為 FINE 層級的記錄訊息。這些記錄訊息不會在預設的 Jenkins 系統記錄中顯示。(CVE-2024-39458)

  - 中危：建立密碼檔案憑證時，Plain Credentials Plugin 182.v468b_97b_9dcb_8 和更舊版本會嘗試解密檔案內容，以檢查其是否構成經過加密的有效密碼。在極少數情況下，檔案內容符合預期的加密密碼格式，且檔案內容將在未經加密的情況下 (僅限以 Base64 編碼) 被儲存在 Jenkins 控制器檔案系統上。具有 Jenkins 控制器檔案系統存取權 (全域憑證) 或 Item/Extended Read 權限 (資料夾範圍的憑證) 的使用者可檢視這些憑證。若儲存的密碼檔案憑證未經加密，則無法使用，因為它們會在使用期間遭到解密。因此，任何成功使用的密碼檔案憑證都不會受到影響。在建立密碼檔案憑證時，Plain Credentials Plugin 183.va_de8f1dd5a_2b_ 不再嘗試解密檔案的內容。(CVE-2024-39459)

  - 中危：在某些情況下，Bitbucket Branch Source Plugin 886.v44cf5e4ecec5 和更舊版本會列印 Bitbucket OAuth 存取權杖，作為建構記錄中 Bitbucket URL 的一部分。Bitbucket Branch Source Plugin 887.va_d359b_3d2d8d 未將 Bitbucket OAuth 存取權杖納入建構記錄中的 Bitbucket URL。(CVE-2024-39460)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - 低危，Structs 插件提供在管道（举例）中使用的实用工具功能以通常在执行之前实例化和配置构建步骤。当 Structs 插件 337.v1b_04ea_4df7c8 和更早版本无法配置构建步骤时，其会记录警告消息，其中包含诊断信息，该信息可能包含作为步骤参数传递的密码。这可通过默认系统日志导致意外泄露机密。Structs 插件 338.v848422169819 在记录这些警告消息之前检查实际参数的类型，如果涉及机密，还需要将详细的诊断信息限制为 FINE 级别日志消息。这些日志消息未显示在默认的 Jenkins 系统日志中。(CVE-2024-39458)

  - 中危，创建机密文件凭据时，Plain Credentials 插件 182.v468b_97b_9dcb_8 和更低版本会尝试解密文件内容，以检查其是否构成有效的加密机密。在极少数情况下，文件内容与加密密钥的预期格式匹配，并且文件内容将以未加密的方式（仅编码的 Base64）存储在 Jenkins 控制器文件系统上。具有 Jenkins 控制器文件系统（全局凭证）访问权限或 Item/Extended Read 权限（文件夹范围内凭证）的用户可以查看这些凭证。未加密存储的机密文件凭证无法使用，因为它们会在使用期间被解密。因此，任何已成功使用的机密文件凭据都不会受到影响。Plain Credentials 插件 183.va_de8f1dd5a_2b_ 在创建机密文件凭据时，不再尝试解密文件内容。(CVE-2024-39459)

  - 中危，Bitbucket Branch Source 插件 886.v44cf5e4ecec5 及更早版本在某些情况下，会将 Bitbucket OAuth 访问标记打印为构建日志中 Bitbucket URL 的一部分。Bitbucket Branch Source 插件 887.va_d359b_3d2d8d 不会将 Bitbucket OAuth 访问令牌包含为构建日志中 Bitbucket URL 的一部分。(CVE-2024-39460)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - 重要度低: Structs プラグインは、通常は実行前にビルドステップをインスタンス化、および設定するためにパイプラインなどで使用されるユーティリティ機能を提供します。Structs プラグイン 337.v1b_04ea_4df7c8 以前がビルドステップの設定に失敗した場合、ステップパラメーターとして渡された秘密情報が含まれる可能性のある診断情報を含む警告メッセージがログに記録されます。これにより、システムログを通じて機密情報が偶発的にエクスポージャーする可能性があります。Structs プラグイン 338.v848422169819 は、これらの警告メッセージを記録する前に実際のパラメーターのタイプを検査し、秘密情報が含まれている場合は詳細な診断情報を FINE レベルのログメッセージに制限します。これらのログメッセージは、Jenkins システムログには表示されません。(CVE-2024-39458)

  - 重要度中: 秘密ファイルの認証情報の作成時、Plain Credentials プラグイン 182.v468b_97b_9dcb_8 以前は、ファイルのコンテンツの復号化を試みて、それが有効な暗号化された秘密情報かどうかをチェックしようとします。まれに、ファイルの内容が暗号化された秘密情報の想定される形式と一致し、ファイルの内容が暗号化されずに (Base64 のみでエンコードされて) Jenkins コントローラーファイルシステムに保存されることがあります。これらの認証情報は、Jenkins コントローラーファイルシステムへのアクセス許可 (グローバル認証情報) またはアイテム/拡張読み取り権限 (フォルダースコープの認証情報) を持つユーザーが表示できます。暗号化されずに保存された秘密ファイルの認証情報は、使用中に復号化されるため、使用できません。したがって、使用に成功した秘密ファイルの認証情報は影響を受けません。Plain Credentials プラグイン 183.va_de8f1dd5a_2b_ は、秘密のファイル認証情報を作成する際に、ファイルのコンテンツの復号を試行しなくなりました。(CVE-2024-39459)

  - 重要度中: Bitbucket Branch Source プラグイン 886.v44cf5e4ecec5 以前では、ビルドログの Bitbucket URL の一部として Bitbucket OAuth アクセストークンを出力する場合があります。Bitbucket Branch Source プラグイン 887.va_d359b_3d2d8d には、ビルドログの Bitbucket URL の一部として Bitbucket OAuth アクセストークンが含まれていません。(CVE-2024-39460)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Low Structs Plugin provides utility functionality used, e.g., in Pipeline to instantiate and configure     build steps, typically before their execution. When Structs Plugin 337.v1b_04ea_4df7c8 and earlier fails     to configure a build step, it logs a warning message containing diagnostic information that may contain     secrets passed as step parameters. This can result in accidental exposure of secrets through the default     system log. Structs Plugin 338.v848422169819 inspects the types of actual parameters before logging these     warning messages, and limits detailed diagnostic information to FINE level log messages if secrets are     involved. These log messages are not displayed in the default Jenkins system log. (CVE-2024-39458)

  - Medium When creating secret file credentials Plain Credentials Plugin 182.v468b_97b_9dcb_8 and earlier     attempts to decrypt the content of the file to check if it constitutes a valid encrypted secret. In rare     cases the file content matches the expected format of an encrypted secret, and the file content will be     stored unencrypted (only Base64 encoded) on the Jenkins controller file system. These credentials can be     viewed by users with access to the Jenkins controller file system (global credentials) or with     Item/Extended Read permission (folder-scoped credentials). Secret file credentials stored unencrypted are     unusable, as they would be decrypted during their use. Any successfully used secret file credentials are     therefore unaffected. Plain Credentials Plugin 183.va_de8f1dd5a_2b_ no longer attempts to decrypt the     content of the file when creating secret file credentials. (CVE-2024-39459)

  - Medium Bitbucket Branch Source Plugin 886.v44cf5e4ecec5 and earlier prints the Bitbucket OAuth access     token as part of the Bitbucket URL in the build log in some cases. Bitbucket Branch Source Plugin     887.va_d359b_3d2d8d does not include the Bitbucket OAuth access token as part of the Bitbucket URL in the     build log. (CVE-2024-39460)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
409459	SCA: security update for org.jenkins-ci.plugins:plain-credentials (GHSA-3cpq-rw36-cppv)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
409459	SCA: security update for org.jenkins-ci.plugins:plain-credentials (GHSA-3cpq-rw36-cppv)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
201047	Jenkins plugin 多個弱點 (2024-06-26)	Nessus	CGI abuses	6/26/2024	12/2/2024	medium
201047	Jenkins 插件多个漏洞 (2024-06-26)	Nessus	CGI abuses	6/26/2024	12/2/2024	medium
201047	Jenkins プラグインの複数の脆弱性 (2024 年 6 月 26 日)	Nessus	CGI abuses	6/26/2024	12/2/2024	medium
201047	Jenkins plugins Multiple Vulnerabilities (2024-06-26)	Nessus	CGI abuses	6/26/2024	12/2/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium