According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - High Script Security Plugin provides a sandbox feature that allows low privileged users to define scripts,     including Pipelines, that are generally safe to execute. Calls to code defined inside a sandboxed script     are intercepted, and various allowlists are checked to determine whether the call is to be allowed.
    Multiple sandbox bypass vulnerabilities exist in Script Security Plugin 1335.vf07d9ce377a_e and earlier:
    Crafted constructor bodies that invoke other constructors can be used to construct any subclassable type     via implicit casts. Sandbox-defined Groovy classes that shadow specific non-sandbox-defined classes can be     used to construct any subclassable type. These vulnerabilities allow attackers with permission to define     and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute arbitrary     code in the context of the Jenkins controller JVM. These issues are caused by an incomplete fix of     SECURITY-2824. Script Security Plugin 1336.vf33a_a_9863911 has additional restrictions and sanity checks     to ensure that super constructors cannot be constructed without being intercepted by the sandbox: Calls to     to other constructors using this are now intercepted by the sandbox. Classes in packages that can be     shadowed by Groovy-defined classes are no longer ignored by the sandbox when intercepting super     constructor calls. (CVE-2024-34144, CVE-2024-34145)

  - Medium Git server Plugin 114.v068a_c7cc2574 and earlier does not perform a permission check for read     access to a Git repository over SSH. This allows attackers with a previously configured SSH public key but     lacking Overall/Read permission to access Git repositories. Git server Plugin 117.veb_68868fa_027 requires     Overall/Read permission to access Git repositories over SSH. (CVE-2024-34146)

  - Low Telegram Bot Plugin 1.4.0 and earlier stores the Telegram Bot token unencrypted in its global     configuration file jenkinsci.plugins.telegrambot.TelegramBotGlobalConfiguration.xml on the Jenkins     controller as part of its configuration. This token can be viewed by users with access to the Jenkins     controller file system. As of publication of this advisory, there is no fix. Learn why we announce this.
    (CVE-2024-34147)

  - Medium Subversion Partial Release Manager Plugin 1.0.1 and earlier programmatically sets the Java system     property hudson.model.ParametersAction.keepUndefinedParameters whenever a build is triggered from a     release tag with the 'Svn-Partial Release Manager' SCM. Doing so disables the fix for SECURITY-170 /     CVE-2016-3721. As of publication of this advisory, there is no fix. Learn why we announce this.
    (CVE-2024-34148)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 高 Script Security 外掛程式提供沙箱功能，可讓低權限的使用者定義通常可以安全執行的指令碼 (包括管道)。在沙箱指令碼內定義的程式碼呼叫會遭到攔截，並檢查各種許可清單，以確定是否允許呼叫。
    指令碼安全性外掛程式 1335.vf07d9ce377a_e 及更舊版本中存在多個沙箱繞過弱點：
    呼叫其他建構函式的特製建構函式主體可用於透過隱含轉換建構任何可子類別化的類型。沙箱定義的 Groovy 類別遮蔽特定非沙箱定義的類別，可用來建構任何可子分類的類型。這些弱點允許具有定義和執行沙箱指令碼 (包括管道) 權限的攻擊者繞過沙箱保護，並在 Jenkins 控制器 JVM 的內容中執行任意程式碼。這些問題是因為 SECURITY-2824 的修正不完整所造成。指令碼安全性外掛程式 1336.vf33a_a_9863911 具有其他限制和功能健全檢查，可確保超級建構函式在沒有被沙箱攔截的情況下無法建構：沙箱現在會攔截對使用此建構函式的其他建構函式的呼叫。攔截超級建構函式呼叫時，沙箱不再忽略套件中可由 Groovy 定義的類別遮蔽的類別。(CVE-2024-34144、CVE-2024-34145)

  - 中等 Git 伺服器外掛程式 114.v068a_c7cc2574 和更舊版本未針對透過 SSH 讀取 Git 存放庫的存取權執行權限檢查。此動作允許具有先前設定 SSH 公開金鑰但缺少 Overall/Read 權限的攻擊者存取 Git 存放庫。Git 伺服器外掛程式 117.veb_68868fa_027 需要 Overall/Read 權限，才能透過 SSH 存取 Git 存放庫。 (CVE-2024-34146)

  - 低 Telegram Bot Plugin 1.4.0 和更舊版本將未加密的 Telegram Bot token 儲存在 Jenkins 控制器上的全域設定檔 jenkinsci.plugins.telegrambot.TelegramBotGlobalConfiguration.xml 中，作為其組態的一部分。具有 Jenkins 控制器檔案系統存取權的使用者可檢視此權杖。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。
    (CVE-2024-34147)

  - 每當從具有「Svn-Partial Release Manager」SCM 的版本標籤觸發構建時，中等 Subversion Partial Release Manager Plugin 1.0.1 和更舊版本都會以程式設計方式設定 Java 系統屬性 hudson.model.ParametersAction.keepUndefinedParameters。如此會停用 SECURITY-170 / CVE-2016-3721 的修正。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。
    (CVE-2024-34148)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - 高危脚本安全插件提供沙盒功能，允许低权限用户定义通常可安全执行的脚本，包括 Pipeline。拦截对沙盒脚本内定义的代码的调用，并检查各种许可名单以确定是否允许调用。
    脚本安全插件 1335.vf07d9ce377a_e 和更早版本中存在多个沙盒绕过漏洞：
    构建的构造函数正文（调用其他构造函数）可用于通过隐式转换构造任何可子类化的类型。遮蔽特定非沙盒定义类的沙盒定义 Groovy 类可用于构造任何可子类化的类型。这些漏洞允许具有定义和运行沙盒脚本（包括 Pipeline）权限的攻击者绕过沙盒保护并在 Jenkins 控制器 JVM 的上下文中执行任意代码。这些问题因针对 SECURITY-2824 的修复不完整而引起。我们为脚本安全插件 1336.vf33a_a_9863911 设置额外限制和健全性检查，可确保构建超级构造函数不会遭到沙盒拦截：使用此插件调用其他构造函数现在会被沙盒拦截。在拦截超级构造函数调用时，程序包中可被 Groovy 定义的类遮蔽的类不再被沙盒忽略。（CVE-2024-34144、CVE-2024-34145）

  - 中危 Git 服务器插件 114.v068a_c7cc2574 和更早版本不会对是否可以通过 SSH 读取 Git 存储库执行权限检查。先前配置了 SSH 公钥但缺少 Overall/Read 权限的攻击者可利用此缺陷来访问 Git 存储库。Git 服务器插件 117.veb_68868fa_027 规定，需要有 Overall/Read 权限才能通过 SSH 访问 Git 存储库。(CVE-2024-34146)

  - 低危 Telegram Bot Plugin 1.4.0 和更早版本会将未加密的 Telegram Bot 令牌存储在 Jenkins 控制器上的全局配置文件 jenkinsci.plugins.telegrambot.TelegramBotGlobalConfiguration.xml 中，以此作为其配置的一部分。有权访问 Jenkins 控制器文件系统的用户可以查看此令牌。在发布此公告时，尚无修复方法。了解我们为何宣布此问题。
    (CVE-2024-34147)

  - 中危 只要根据含有“Svn-Partial Release Manager”SCM 的版本标记触发构建时，Subversion Partial Release Manager Plugin 1.0.1 和更早版本就会以编程方式设置 Java 系统属性 hudson.model.ParametersAction.keepUndefinedParameters。这样做会使针对 SECURITY-170/CVE-2016-3721 的修复失效。在发布此公告时，尚无修复方法。了解我们为何宣布此问题。
    (CVE-2024-34148)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモート Web サーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - 重要度高 スクリプトセキュリティプラグインは、一般に安全に実行できる Pipeline を含むスクリプトを、権限の低いユーザーが定義できるサンドボックス機能を提供します。サンドボックス化されたスクリプト内で定義されたコードへの呼び出しが傍受され、呼び出しを許可するかどうかを判断するためにさまざまな許可リストがチェックされます。
    Script Security Plugin 1335.vf07d9ce377a_e 以前では、複数のサンドボックスバイパスの脆弱性が存在します。
    他のコンストラクターを呼び出すように細工されたコンストラクター本体を作成することで、暗黙のキャストを介してサブクラス化可能な型を構築できます。特定のサンドボックス定義されていないクラスをシャドーするサンドボックス定義の Groovy クラスを使用して、任意のサブクラス化可能な型を構築できます。これらの脆弱性により、パイプラインを含むサンドボックス化されたスクリプトを定義および実行する権限を持つ攻撃者が、サンドボックス保護をバイパスし、Jenkins コントローラー JVM のコンテキストで任意のコードを実行する可能性があります。これらの問題は、SECURITY-2824 の修正が不完全なために発生します。スクリプトセキュリティプラグイン 1336.vf33a_a_9863911 には、サンドボックスによって傍受されることなくスーパーコンストラクターを確実に構築できないようにするため、追加の制限と健全性チェックがあります。これを使用する他のコンストラクターへの呼び出しは、サンドボックスによって傍受されるようになりました。Groovy で定義されたクラスによってシャドー化できるパッケージ内のクラスは、スーパーコンストラクター呼び出しをインターセプトするときに、サンドボックスによって無視されなくなりました。(CVE-2024-34144、CVE-2024-34145)

  - 重要度中: Git サーバープラグイン 114.v068a_c7cc2574 以前では、SSH 経由の Git リポジトリへの読み取りアクセスに対して権限チェックを実行しません。これにより、以前に設定された SSH 公開鍵を使用しても、Overall/Read 権限を持たない攻撃者が Git リポジトリにアクセスする可能性があります。Git サーバープラグイン 117.veb_68868fa_027 に SSH 経由で Git リポジトリにアクセスするには、Overall/Read 権限が必要です。(CVE-2024-34146)

  - 重要度低: Telegram Bot プラグイン 1.4.0 以前では、Telegram Bot トークンを設定の一部として Jenkins コントローラーのグローバル設定ファイルである jenkinsci.plugins.telegrambot.TelegramBotGlobalConfiguration.xml に暗号化せずに保存します。このトークンは、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。このアドバイザリの公開時点では、修正はありません。弊社がこれを発表する理由をご覧ください。
    (CVE-2024-34147)

  - 重要度中: Subversion Partial Release Manager プラグイン 1.0.1 以前では、「Svn-Partial Release Manager」SCM でリリースタグからビルドがトリガーされるたびに、Java システムプロパティ hudson.model.ParametersAction.keepUndefinedParameters をプログラムで設定します。これにより、SECURITY-170/ CVE-2016-3721 の修正が無効になります。このアドバイザリの公開時点では、修正はありません。弊社がこれを発表する理由をご覧ください。
    (CVE-2024-34148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	Name	Product	Family	Published	Updated	Severity
194914	Jenkins plugins Multiple Vulnerabilities (2024-05-02)	Nessus	CGI abuses	5/2/2024	10/3/2024	critical
194914	Jenkins Plugin 多個弱點 (2024-05-02)	Nessus	CGI abuses	5/2/2024	10/3/2024	critical
194914	Jenkins 插件多个漏洞 (2024-05-02)	Nessus	CGI abuses	5/2/2024	10/3/2024	critical
194914	Jenkins プラグインの複数の脆弱性 (2024 年 5 月 2 日)	Nessus	CGI abuses	5/2/2024	10/3/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical