Jenkins Seite 2

Das Jenkins-Plugin Health Advisor by CloudBees (Version 374.v194b_d4f0c8c8 und früher) maskiert laut NVD Antworten des Jenkins-Health-Advisor-Servers nicht, was zu einer Stored-Cross-Site-Scripting-Schwachstelle führt. Ausnutzbar ist sie durch Angreifer, die die Antworten des Health-Advisor-Servers kontrollieren können. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Im Jenkins Templating Engine Plugin 2.5.3 und aelter unterliegen in Ordnern definierte Bibliotheken nicht dem Sandbox-Schutz. Angreifer mit der Berechtigung Item/Configure können dadurch beliebigen Code im Kontext der JVM des Jenkins-Controllers ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

Das Jenkins Bitbucket Server Integration Plugin in den Versionen 2.1.0 bis einschliesslich 4.1.3 erlaubt es Angreifern, URLs zu präparieren, mit denen sich der CSRF-Schutz beliebiger Ziel-URLs in Jenkins umgehen lässt. Dadurch können Aktionen im Kontext eines angemeldeten Nutzers ausgelöst werden, ohne dass der eigentliche CSRF-Schutz greift. Ein erfolgreicher Angriff erfordert eine Nutzerinteraktion. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins OpenId Connect Authentication Plugin in Version 4.452.v2849b_d3945fa_ und früher (ausser 4.438.440.v3f5f201de5dc) behandelt Benutzernamen als gross-/kleinschreibungsunabhängig. Auf Jenkins-Instanzen mit einem gross-/kleinschreibungssensitiven OpenID-Connect-Provider können sich Angreifer dadurch als beliebiger Benutzer anmelden, indem sie einen nur in der Gross-/Kleinschreibung abweichenden Namen angeben, und so potenziell Administratorzugriff erlangen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

Das Jenkins Simple Queue Plugin in Version 1.4.4 und früher maskiert den Ansichtsnamen nicht, wodurch eine gespeicherte Cross-Site-Scripting-Lücke (XSS) entsteht. Angreifer mit der Berechtigung View/Create können sie ausnutzen, um Schadskripte einzuschleusen. CVSS-Basiswert: 8 (Hoch).

Das Jenkins Pipeline: Groovy Plugin 3990.vd281dd77a_388 und älter (ausser 3975.3977.v478dd9e956c3) prüft beim erneuten Bauen nicht, ob das Jenkinsfile-Skript des Builds freigegeben ist. Angreifer mit der Berechtigung Item/Build können so einen früheren Build erneut ausführen, dessen Skript nicht mehr freigegeben ist. CVSS-Basiswert: 8.0 (Hoch).

Das Jenkins Pipeline: Declarative Plugin 2.2214.vb_b_34b_2ea_9b_83 und älter prüft nicht, ob das zum Neustart eines Builds ab einer bestimmten Stufe verwendete Hauptskript (Jenkinsfile) freigegeben ist. Dadurch können Angreifer mit der Berechtigung Item/Build einen früheren Build neu starten, dessen Jenkinsfile-Skript nicht mehr freigegeben ist. CVSS-Basiswert: 8.0 (Hoch).

Das Jenkins OpenId Connect Authentication Plugin 4.418.vccc7061f5b_6d und früher invalidiert die vorherige Sitzung beim Login nicht. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das Plugin auf eine Version oberhalb von 4.418.vccc7061f5b_6d aktualisieren.

Das Jenkins Shared Library Version Override Plugin deklariert in Version 17.v786074c9fce7 und früher ordnerbezogene Bibliotheks-Overrides als vertrauenswürdig, sodass diese nicht in der Script-Security-Sandbox ausgeführt werden. Angreifer mit der Berechtigung Item/Configure auf einem Ordner können dadurch einen ordnerbezogenen Library-Override konfigurieren, der ohne Sandbox-Schutz läuft. Dies ermöglicht die Ausführung von Code ausserhalb der vorgesehenen Sicherheitsgrenzen. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins Authorize Project Plugin bis einschliesslich Version 1.7.2 wertet in der Authorization-Ansicht einen String mit dem Job-Namen als JavaScript aus. Daraus ergibt sich eine Stored-Cross-Site-Scripting-Schwachstelle (XSS), die von Angreifern mit der Berechtigung Item/Configure ausgenutzt werden kann. CVSS-Basiswert: 8.0 (Hoch).

Das Jenkins OpenId Connect Authentication Plugin 4.354.v321ce67a_1de8 und aeltere prüfen den aud-Claim (Audience) eines ID-Tokens nicht. Angreifer können dadurch den Authentifizierungsfluss unterlaufen und potenziell Administrator-Zugriff auf Jenkins erlangen. CVSS-Basiswert: 8.1 (Hoch).

Das Jenkins OpenId Connect Authentication Plugin in Version 4.354.v321ce67a_1de8 und älter prüft den iss-Claim (Issuer) eines ID-Tokens nicht. Dadurch können Angreifer den Authentifizierungsfluss unterlaufen und möglicherweise Administratorzugriff auf Jenkins erlangen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate des Plugins einspielen.

Der Jenkins Credentials Plugin redigiert in Version 1380.va_435002fa_924 und früher (ausser 1371.1373.v4eb_fa_b_7161e9) verschlüsselte Werte von Credentials des Typs SecretBytes beim Zugriff auf config.xml über REST-API oder CLI nicht. Dadurch können diese Werte offengelegt werden. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung des Credentials Plugin auf eine nicht betroffene Version.

In Jenkins 2.470 und älter sowie LTS 2.452.3 und älter können Agent-Prozesse über die Methode ClassLoaderProxy#fetchJar in der Remoting-Bibliothek beliebige Dateien aus dem Dateisystem des Jenkins-Controllers auslesen. Das ermöglicht den unbefugten Zugriff auf potenziell sensible Dateien. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine nicht betroffene Jenkins-Version.

Im Jenkins Script Security Plugin (Version 1335.vf07d9ce377a_e und früher) besteht eine Schwachstelle zur Umgehung der Sandbox. Über sandbox-definierte Klassen, die bestimmte nicht-sandbox-definierte Klassen überdecken, können Angreifer mit der Berechtigung, sandboxed Skripte inklusive Pipelines zu definieren und auszuführen, den Sandbox-Schutz umgehen. Dadurch lässt sich beliebiger Code im Kontext der JVM des Jenkins-Controllers ausführen. CVSS-Basiswert: 8.8 (Hoch).

Eine fehlende Berechtigungsprüfung an einem HTTP-Endpunkt im Jenkins docker-build-step Plugin 2.11 und älter erlaubt Angreifern mit Overall/Read-Recht, sich mit einer angreiferbestimmten TCP- oder Unix-Socket-URL zu verbinden und das Plugin über die Verbindungstest-Parameter umzukonfigurieren, was künftige Build-Schritte beeinflusst. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins GitBucket Plugin 0.8 und älter bereinigt Gitbucket-URLs in Build-Ansichten nicht, wodurch ein gespeichertes Cross-Site-Scripting entsteht. Angreifer, die Jobs konfigurieren können, können es ausnutzen. CVSS-Basiswert: 8.0 (Hoch).

Das Jenkins iceScrum Plugin 1.1.6 und älter bereinigt iceScrum-Projekt-URLs auf Build-Ansichten nicht, was zu einer gespeicherten Cross-Site-Scripting-Schwachstelle (XSS) führt. Sie ist von Angreifern ausnutzbar, die Jobs konfigurieren können. CVSS-Basiswert: 8.8 (Hoch).

Jenkins 2.217 bis 2.441 sowie LTS 2.222.1 bis 2.426.2 führen keine Origin-Validierung für Anfragen über den CLI-WebSocket-Endpunkt durch. Daraus ergibt sich eine Cross-Site-WebSocket-Hijacking-Schwachstelle (CSWSH), über die Angreifer CLI-Befehle auf dem Jenkins-Controller ausführen können. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

Der Log Command Plugin für Jenkins in Version 1.0.2 und früher deaktiviert eine Funktion seines Kommando-Parsers nicht, die ein „@“-Zeichen gefolgt von einem Dateipfad in einem Argument durch den Dateiinhalt ersetzt. Dadurch können nicht authentifizierte Angreifer beliebige Dateien vom Jenkins-Controller-Dateisystem auslesen. CVSS-Basiswert: 7.5 (Hoch).

Das Jenkins Scriptler Plugin 342.v6a_89fd40f466 und älter schränkt einen Dateinamen-Parameter eines HTTP-Endpunkts nicht ein. Angreifer mit der Berechtigung Scriptler/Configure können damit beliebige Dateien auf dem Jenkins-Controller löschen. CVSS-Basiswert: 8.1 (Hoch).

Im Jenkins Nexus Platform Plugin 3.18.0-03 und älter besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Angreifer können damit eine HTTP-Anfrage an eine von ihnen angegebene URL senden und die Antwort als XML verarbeiten lassen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb von 3.18.0-03.

Eine Cross-Site-Request-Forgery-Schwachstelle im Jenkins Nexus Platform Plugin 3.18.0-03 und älter erlaubt Angreifern, eine Verbindung zu einem von ihnen bestimmten HTTP-Server mit einer angegebenen Credentials-ID aufzubauen und so in Jenkins gespeicherte Zugangsdaten abzugreifen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das Plugin auf eine Version nach 3.18.0-03 aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle im Jenkins HTMLResource Plugin 1.02 und älter erlaubt es Angreifern, beliebige Dateien im Dateisystem des Jenkins-Controllers zu löschen. CVSS-Basiswert: 8.1 (Hoch).

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins PaaSLane Estimate Plugin 1.0.4 und aelter erlaubt Angreifern, eine Verbindung zu einer von ihnen angegebenen URL unter Verwendung eines angegebenen Tokens herzustellen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins MATLAB Plugin 2.11.0 und früher erlaubt es Angreifern, Jenkins zum Parsen einer XML-Datei aus dem Dateisystem des Jenkins-Controllers zu veranlassen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das MATLAB Plugin auf eine Version oberhalb von 2.11.0 aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle im Jenkins NeuVector Vulnerability Scanner Plugin 1.22 und früher erlaubt Angreifern, sich unter einem angreiferseitig festgelegten Hostnamen und Port mit angreiferseitig festgelegtem Benutzernamen und Passwort zu verbinden. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Plugin-Version einspielen.

Das Jenkins-Plugin CloudBees CD 1.1.32 und früher folgt beim Aufräumen des Post-Build-Schritts CloudBees CD - Publish Artifact symbolischen Verknüpfungen an Ziele ausserhalb des erwarteten Verzeichnisses. Angreifer, die Jobs konfigurieren dürfen, können damit beliebige Dateien auf dem Dateisystem des Jenkins-Controllers löschen. CVSS-Basiswert: 8.1 (Hoch).

Eclipse Jetty ist ein Webserver und Servlet-Container. Laut NVD kommt es in den Versionen 11.0.0 bis 11.0.15, 10.0.0 bis 10.0.15 und 9.0.0 bis 9.4.52 durch einen Integer-Overflow in MetaDataBuilder.checkSize dazu, dass HTTP/2-HPACK-Header-Werte ihr Grössenlimit überschreiten können. Bei sehr grosser Länge und aktiviertem Huffman-Coding wird das Ergebnis der internen Multiplikation negativ, wodurch die Grössenprüfung nicht greift; zusätzlich lässt die Prüfung negative Headerwert-Grössen zu, was bei einer nachfolgenden Multiplikation zur Allokation eines sehr grossen Puffers auf dem Server führen kann. Nutzer von HTTP/2 können dadurch von einem entfernten Denial-of-Service-Angriff betroffen sein. Der Fehler ist in den Versionen 11.0.16, 10.0.16 und 9.4.53 behoben; laut Quelle existieren keine Workarounds. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Jenkins 2.423 und früher sowie LTS 2.414.1 und früher legen beim Installieren eines Plugins von einer URL eine temporäre Datei im System-Temp-Verzeichnis mit den Standardberechtigungen für neu erstellte Dateien an. Angreifer mit Zugriff auf das System-Temp-Verzeichnis könnten die Datei ersetzen, bevor sie in Jenkins installiert wird, was möglicherweise zu beliebiger Code-Ausführung führt. CVSS-Basiswert: 8.8 (Hoch).

In Jenkins 2.423 und früher sowie LTS 2.414.1 und früher werden bei der Verarbeitung von Datei-Uploads über das Stapler-Framework temporäre Dateien im Standard-Temp-Verzeichnis mit den Standardberechtigungen angelegt. Angreifer mit Zugriff auf das Dateisystem des Jenkins-Controllers können diese Dateien lesen und schreiben, bevor sie verwendet werden. CVSS-Basiswert: 8.1 (Hoch).

Im Jenkins Build Failure Analyzer Plugin 2.4.1 und früher besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Angreifer können damit eine Verbindung zu einem von ihnen angegebenen Hostnamen und Port unter Verwendung eines angegebenen Benutzernamens und Passworts aufbauen. CVSS-Basiswert: 8.8 (Hoch).

In Jenkins 2.423 und früher sowie LTS 2.414.1 und früher legt der MultipartFormDataParser beim Verarbeiten von Datei-Uploads temporäre Dateien im Standard-Temp-Verzeichnis des Systems mit den Standardberechtigungen für neu erstellte Dateien an. Angreifer mit Zugriff auf das Dateisystem des Jenkins-Controllers können diese Dateien dadurch lesen und verändern, bevor sie verwendet werden. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine Jenkins-Version neuer als 2.423 bzw. LTS 2.414.1.

Das Jenkins Job Configuration History Plugin in Version 1227.v7a_79fc4dc01f und früher konfiguriert seinen XML-Parser nicht so, dass XML-External-Entity-Angriffe (XXE) verhindert werden. Dadurch können Angreifer präparierte XML-Daten einschleusen. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins Assembla Auth Plugin 1.14 und aelter prüft nicht, ob die von ihm gewährten Berechtigungen aktiviert sind. Dadurch erhalten Nutzer mit EDIT-Berechtigung faelschlich die Berechtigungen Overall/Manage und Overall/SystemRead, selbst wenn diese deaktiviert sind. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das Jenkins SSH2 Easy Plugin 1.4 und früher prüft nicht, ob die zur Vergabe konfigurierten Berechtigungen tatsächlich aktiviert sind. Dadurch können Benutzer, denen zuvor Rechte (typischerweise optionale Berechtigungen wie Overall/Manage) gewährt wurden, auf Funktionen zugreifen, zu denen sie nicht mehr berechtigt sind. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins Azure AD Plugin verwendet in Version 396.v86ce29279947 und früher (ausser 378.380.v545b_1154b_3fb_) laut Quelle eine Vergleichsfunktion ohne konstante Laufzeit, um den übermittelten CSRF-Schutz-Nonce mit dem erwarteten Wert abzugleichen. Dadurch können Angreifer mittels statistischer Methoden einen gültigen Nonce ermitteln. CVSS-Basiswert: 7.5 (Hoch).

Das Jenkins Google Login Plugin vergleicht in Version 1.7 und früher laut NVD das übergebene mit dem erwarteten Token über eine nicht zeitkonstante Vergleichsfunktion. Dadurch können Angreifer mittels statistischer Methoden (Timing-Angriff) einen gültigen Token ermitteln. CVSS-Basiswert: 7.5 (Hoch).

Das Jenkins Bitbucket Push and Pull Request Plugin vertraut in den Versionen 2.4.0 bis einschliesslich 2.8.3 Werten aus dem Webhook-Payload, darunter bestimmten URLs, und verwendet dafür konfigurierte Bitbucket-Zugangsdaten, um eine Verbindung zu diesen URLs herzustellen. Laut NVD können Angreifer dadurch mittels eines präparierten Webhook-Payloads in Jenkins gespeicherte Bitbucket-Zugangsdaten abgreifen. CVSS-Basiswert: 7.5 (Hoch).

Im Jenkins Folders Plugin 6.846.v23698686f0f6 und früher besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Angreifer können damit Ordner kopieren. CVSS-Basiswert: 8.8 (Hoch).

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins Blue Ocean Plugin 1.27.5 und aelter erlaubt Angreifern, eine Verbindung zu einer von ihnen vorgegebenen URL aufzubauen und dabei GitHub-Zugangsdaten abzugreifen, die einem vorgegebenen Job zugeordnet sind. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das Jenkins Config File Provider Plugin maskiert in Version 952.va_544a_6234b_46 und früher laut Quelle in Konfigurationsdateien angegebene Zugangsdaten nicht (d. h. ersetzt sie nicht durch Sternchen), wenn diese in das Build-Log geschrieben werden. CVSS-Basiswert: 7.5 (Hoch).

Das Jenkins NodeJS Plugin maskiert in Version 1.6.0 und früher laut NVD in der Npm-Konfigurationsdatei angegebene Zugangsdaten in Pipeline-Build-Logs nicht korrekt, also nicht durch Sternchen ersetzt. CVSS-Basiswert: 7.5 (Hoch).

Im Jenkins-Plugin für ServiceNow DevOps (vor Version 1.38.1) besteht eine Schwachstelle durch fehlende Autorisierungsprüfung, die bei erfolgreicher Ausnutzung zur ungewollten Offenlegung sensibler Informationen führen kann. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 1.38.1 des Jenkins-Plugins; Änderungen an den Now-Platform-Instanzen sind nicht erforderlich.

Das Jenkins-Proxmox-Plugin in Version 0.6.0 und älter deaktiviert die SSL/TLS-Zertifikatsprüfung global für die JVM des Jenkins-Controllers, sobald es so konfiguriert ist, SSL/TLS-Probleme zu ignorieren. Dadurch sind auch andere Verbindungen desselben Controllers ungeschützt und anfällig für Man-in-the-Middle-Angriffe. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren und die Zertifikatsprüfung nicht global deaktivieren.

Für Eclipse Jetty wurde eine Sicherheitslücke (CVE-2021-28165) gemeldet; zahlreiche Hersteller (u. a. Zimbra, Jenkins und NetApp) führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 53.9 %.

Jenkins 2.567 und früher sowie LTS 2.555.2 und früher bestimmen fehlerhaft, ob eine Redirect-URL nach dem Login tatsächlich auf Jenkins verweist, wenn diese Tabulator- oder Zeilenumbruchzeichen zwischen `//` enthält. Dadurch lässt sich ein Open Redirect auslösen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine fehlerbereinigte Jenkins-Version aktualisieren.

Jenkins 2.567 und älter sowie LTS 2.555.2 und älter stufen eine Redirect-URL nach dem Login fälschlich als legitim auf Jenkins zeigend ein, wenn sie relative Pfadsegmente (`./` oder `../`) enthält. Dadurch lässt sich eine Weiterleitung auf eine fremde Ziel-URL erzwingen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine bereinigte Jenkins-Version aktualisieren.

Das Jenkins Pipeline: Groovy Plugin in Version 4331.v9d06ed4658ff und früher schränkt die Typen nicht ein, die über den Pipeline Snippet Generator instanziiert werden können, sodass Angreifer sicherheitsrelevante Typen instanziieren können. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung des betroffenen Plugins nach Verfügbarkeit.

In hekmon8 Jenkins-server-mcp Version 0.1.0 wurde eine Schwachstelle in der Funktion jobPath der Datei src/index.ts gefunden, welche die Komponenten get_build_status, get_build_log und trigger_build betrifft. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.