Jenkins Seite 3

Jenkins 2.483 bis 2.567 (jeweils inklusive) sowie LTS 2.492.1 bis 2.555.2 (jeweils inklusive) escapen die vom Benutzer angegebene Beschreibung einer generischen Offline-Ursache nicht, die per POST gesetzt werden kann. Dies ermöglicht Stored Cross-Site-Scripting. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Jenkins-Version aktualisieren.

Jenkins verarbeitet in Version 2.575 und früher sowie LTS 2.568.1 und früher symbolische Links mit effektiv leeren Namen beim Entpacken von .tar- und .tar.gz-Archiven nicht sicher. Laut Quelltext können Angreifer, die entsprechende Archive einspielen können, dies ausnutzen; die genaue Auswirkung ist im verfügbaren Text abgeschnitten. CVSS-Basiswert: 4.3 (Mittel). Eine EPSS-Bewertung liegt nicht vor.

Jenkins identifiziert in Version 2.575 und früher sowie LTS 2.568.1 und früher laut NVD Dateipfade mit Pfadtraversierungsversuchen in Datei-Parameternamen unzureichend. Angreifer mit den Berechtigungen Item/Configure und Item/Build können dies ausnutzen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) ist in den Quelldaten nicht angegeben.

Jenkins behandelt in Version 2.575 und früher sowie LTS 2.568.1 und früher die Gross-/Kleinschreibung von Benutzer- und Gruppennamen inkonsistent. Laut Quelltext können Angreifer, die neue Benutzer oder Gruppen anlegen dürfen, dies mit Namen ausnutzen, die sich nur in der Gross-/Kleinschreibung von bestehenden Namen unterscheiden; die genaue Auswirkung ist im verfügbaren Text abgeschnitten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Jenkins 2.567 und älter sowie LTS 2.555.2 und älter stellen nicht sicher, dass der Parameter from im Sicherheits-Realm Delegate to servlet container nach dem Login ein sicheres Weiterleitungsziel ist, wodurch eine offene Weiterleitung (Open Redirect) möglich wird. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf eine Jenkins-Version neuer als 2.567 bzw. LTS neuer als 2.555.2 aktualisieren.

In Jenkins 2.567 und früher sowie LTS 2.555.2 und früher erlauben fehlende Berechtigungsprüfungen Angreifern mit der Berechtigung Overall/Read, die konfigurierte Zeitzone anderer Benutzer zu ermitteln und View-Namen aufzuzählen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Jenkins auf eine fehlerbereinigte Version aktualisieren.

Das Jenkins External Workspace Manager Plugin führt in Version 1.4.0 und früher laut NVD keine Berechtigungsprüfung durch; in Version 1.4.1 ist diese Prüfung fehlerhaft implementiert. Betroffen ist der Zugriff auf extern bereitgestellte Ressourcen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS) ist ebenfalls nicht angegeben.

Im Jenkins Git Parameter Plugin 462.vdcf3df2ed2ca_ und früher fehlt eine Berechtigungsprüfung. Angreifer mit Item/Read-Berechtigung können dadurch Informationen über das von einem Job genutzte SCM-Repository erlangen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Git Parameter Plugin auf eine fehlerbereinigte Version aktualisieren.

Eine fehlende Berechtigungsprüfung im Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821 und älter erlaubt Angreifern mit Overall/Read-Berechtigung, die URLs konfigurierter GitHub-Enterprise-Server auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Eine fehlende Berechtigungsprüfung in Jenkins 2.567 und früher sowie LTS 2.555.2 und früher erlaubt Angreifern mit Item/Cancel-, aber ohne Item/Read-Berechtigung, Queue-Items abzubrechen, auf die sie keinen Lesezugriff haben. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf eine korrigierte Jenkins-Version aktualisieren.

Das Jenkins Git client Plugin 6.6.0 und früher maskiert den Namen des Workspace-Verzeichnisses nicht korrekt, wenn er in ein generiertes SSH-Wrapper-Skript eingebettet wird. Angreifer, die den Namen kontrollieren können, können dies ausnutzen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Jenkins 2.567 und früher sowie LTS 2.555.2 und früher verschlüsseln Secrets aus POST-config.xml-Übermittlungen nicht, bevor sie unverschlüsselt in den Job-Konfigurationsdateien (config.xml) auf dem Jenkins-Controller gespeichert werden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Jenkins-Version aktualisieren.

Jenkins beschränkt in Version 2.575 und früher sowie LTS 2.568.1 und früher laut NVD die Typen von Objekten nicht, die im Rahmen der Konfiguration der Projekt-Namensstrategie instanziiert werden können. Angreifer mit entsprechenden Berechtigungen können dies ausnutzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS) ist ebenfalls nicht angegeben.

Im Jenkins Violation Comments to GitLab Plugin fehlt in Version 2.62.0 und früher eine Berechtigungsprüfung. Dadurch können Angreifer mit der Berechtigung Overall/Read die IDs der in Jenkins gespeicherten Credentials enumerieren. CVSS-Basiswert: 4.3 (Mittel). Eine EPSS-Bewertung liegt nicht vor.

Eine fehlende Berechtigungsprüfung im Jenkins-Plugin „MCP Server“ (Version 0.177.v629fdb_2557fe und früher) erlaubt Angreifern mit Item/Read-Berechtigung, die Pipeline-Replay-Skripte der für sie zugänglichen Jobs auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Das Jenkins FitNesse Plugin in Version 1.36 und früher speichert Passwörter unverschlüsselt in den job config.xml-Dateien auf dem Jenkins-Controller, wo sie von Benutzern mit Extended-Read-Berechtigung oder entsprechendem Zugriff eingesehen werden können. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung des betroffenen Plugins nach Verfügbarkeit.

Das Jenkins Webhook Secret Credentials Provider Plugin verwendet bis Version 16.v0cfa_f0215cf5 laut NVD keine zeitkonstante Vergleichsfunktion beim Prüfen, ob der übergebene und der erwartete Webhook-Bearer-Token übereinstimmen; weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Jenkins HCL AppScan Plugin fehlen bis Version 1.8.3 laut NVD Berechtigungsprüfungen, wodurch Angreifer mit der Berechtigung Overall/Read die IDs der in Jenkins gespeicherten Credentials aufzählen können. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Jenkins Parameterized Remote Trigger Plugin fehlt in Version 3.2.2 und früher laut NVD eine Berechtigungsprüfung, wodurch Angreifer mit Overall/Read-Berechtigung die IDs der in Jenkins gespeicherten Zugangsdaten aufzählen können. Ein CVSS-Basiswert sowie eine EPSS-Bewertung liegen in den Quelldaten nicht vor.

Das Jenkins Google Chat Notification Plugin setzt bis Version 166.ve6b_de280f2e8 laut NVD beim Credentials-Lookup nicht den passenden Kontext, wodurch Angreifer mit der Berechtigung Item/Configure auf Credentials zugreifen können; weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 4.3 (Mittel). Eine EPSS-Bewertung liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Jenkins Sauce OnDemand Plugin fehlen in Version 2.2.0 und früher Berechtigungsprüfungen. Dadurch können Angreifer mit der Berechtigung Overall/Read die IDs der in Jenkins gespeicherten Credentials enumerieren. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Jenkins CodeSonar Plugin fehlen in Version 3.6.0 und früher laut NVD Berechtigungsprüfungen. Dadurch können Angreifer mit der Berechtigung Overall/Read die IDs der in Jenkins gespeicherten Credentials aufzählen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) ist in den Quelldaten nicht angegeben.

Eine fehlende Berechtigungsprüfung im Jenkins Contrast Continuous Application Security Plugin 3.11 und älter erlaubt Angreifern mit Overall/Read-Berechtigung, eine Verbindung zu einer vom Angreifer angegebenen URL aufzubauen (SSRF-artig). CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Das Contrast-Plugin auf eine Version neuer als 3.11 aktualisieren.

Fehlende Berechtigungsprüfungen im Jenkins Contrast Continuous Application Security Plugin 3.11 und früher erlauben Angreifern mit Overall/Read-Berechtigung, die Namen konfigurierter Contrast-Metadaten aufzuzählen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das Jenkins Horreum Plugin setzt in Version 0.16.162.v33b_4a_a_b_5f828 und früher laut NVD beim Credential-Lookup nicht den passenden Kontext, wodurch Angreifer mit Item/Configure-Berechtigung Jenkins veranlassen können, Zugangsdaten an ein Ziel zu senden; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 4.3 (Mittel). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Im Jenkins AWS CodeBuild Plugin fehlen bis Version 0.59 laut NVD Berechtigungsprüfungen, wodurch Angreifer mit der Berechtigung Overall/Read die IDs der in Jenkins gespeicherten Credentials aufzählen können. CVSS-Basiswert: 4.3 (Mittel). Eine EPSS-Bewertung liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das Jenkins XML Job to Job DSL Plugin führt in Version 0.1.13 und früher laut NVD keine Berechtigungsprüfung durch. Dadurch können Angreifer ohne die erforderlichen Rechte die Konvertierungsfunktionalität des Plugins aufrufen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS) ist in den Quelldaten nicht angegeben.

Eine fehlende Berechtigungsprüfung im Jenkins EC2 Fleet Plugin 4.2.3.539.v8fedff2a_81c3 und früher erlaubt Angreifern mit Overall/Read-Berechtigung, eine Verbindung zu einer vom Angreifer angegebenen URL herzustellen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das betroffene Plugin auf eine korrigierte Version aktualisieren.

Im Jenkins Assembla Plugin 1.4 und früher erlaubt eine fehlende Berechtigungsprüfung Angreifern mit Overall/Read-Berechtigung, eine Verbindung zu einer angreiferseitig vorgegebenen URL mit angreiferseitig vorgegebenem Benutzernamen und Passwort herzustellen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf eine vom Hersteller bereitgestellte, korrigierte Plugin-Version aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins-Plugin „Pipeline: Groovy“ (Version 4331.v9d06ed4658ff und früher) erlaubt Angreifern, bestimmte Typen im Zusammenhang mit der Job- oder Systemkonfiguration zu instanziieren. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins Priority Sorter Plugin 936.v2c01c6b_84449 und früher erlaubt Angreifern, die globale Konfiguration der Job-Priorität zu überschreiben. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

Das Jenkins Qualys Container Scanning Connector Plugin maskiert bis Version 1.8.0.5 laut NVD nutzerkontrollierte Feldwerte in einem JavaScript-Kontext nicht, wodurch eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) entsteht. CVSS-Basiswert: 5.4 (Mittel). Eine EPSS-Bewertung liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das Jenkins Summary Display Plugin escaped in Version 1.15 und früher laut NVD den Job-Namen auf Build-Report-Seiten nicht in einem JavaScript-Kontext, wodurch eine gespeicherte Cross-Site-Scripting-Schwachstelle entsteht, die von Nutzern mit Item/Configure-Berechtigung ausgenutzt werden kann. CVSS-Basiswert: 5.4 (Mittel). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Eine fehlende Berechtigungsprüfung im Jenkins Zowe zDevOps Plugin 1.1.3.50.ve350c9b_450b_1 und früher erlaubt Angreifern mit Overall/Read-Berechtigung, eine Verbindung zu einer vom Angreifer angegebenen URL herzustellen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das Jenkins Job Configuration History Plugin 1356.ve360da_6c523a_ und früher schwärzt die verschlüsselten Werte von Secrets bei der Anzeige historischer Job- und Agent-Konfigurationen nicht, wodurch berechtigte Angreifer diese einsehen können. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Plugin auf eine korrigierte Version aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins EC2 Fleet Plugin 4.2.3.539.v8fedff2a_81c3 und früher erlaubt es Angreifern, eine Verbindung zu einer vom Angreifer bestimmten URL mit vom Angreifer bestimmten Zugangsdaten herzustellen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das betroffene Plugin auf eine bereitgestellte, korrigierte Version aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins Assembla Plugin 1.4 und früher erlaubt Angreifern, eine Verbindung zu einer angreiferseitig festgelegten URL mit angreiferseitig festgelegtem Benutzernamen und Passwort herzustellen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren bzw. dem Jenkins-Sicherheitshinweis folgen.

Im Jenkins SCM-Manager Plugin fehlt in Version 1.11.1 und früher eine Berechtigungsprüfung. Dadurch können Angreifer mit der Berechtigung Overall/Read eine Verbindung zu einer selbst gewählten URL herstellen und dabei von ihnen angegebene, in Jenkins gespeicherte Credentials verwenden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins Zowe zDevOps Plugin 1.1.3.50.ve350c9b_450b_1 und älter erlaubt Angreifern, eine Verbindung zu einer vom Angreifer angegebenen URL mit vom Angreifer angegebenen Zugangsdaten aufzubauen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Das Zowe zDevOps Plugin auf eine Version neuer als 1.1.3.50.ve350c9b_450b_1 aktualisieren.

Das Jenkins Bitbucket Push and Pull Request Plugin in Version 3.3.8 und älter deaktiviert bedingungslos die SSL/TLS-Zertifikats- und Hostnamen-Validierung für Verbindungen, die mit Bearer-Token authentifizierte Anfragen senden. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Im Jenkins SCM-Manager Plugin besteht in Version 1.11.1 und früher laut NVD eine Cross-Site-Request-Forgery-Schwachstelle, die es Angreifern erlaubt, eine Verbindung zu einer beliebigen, vom Angreifer angegebenen URL unter Verwendung ebenfalls vom Angreifer angegebener Zugangsdaten-IDs herzustellen; die Quellbeschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert sowie eine EPSS-Bewertung liegen in den Quelldaten nicht vor.

Das Jenkins LDAP Plugin 807.v7d7de30930cf und früher deserialisiert Daten aus LDAP-Referrals ohne Validierung. Dies kann zur Ausführung von schadhaftem Code führen, wenn ein Angreifer Kontrolle über den referenzierten LDAP-Server hat. CVSS-Basiswert: 6.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das Jenkins LDAP Plugin 807.v7d7de30930cf und früher folgt LDAP-Referrals ohne Einschränkung. Dies kann dazu missbraucht werden, Anfragen an unbeabsichtigte LDAP-Server umzuleiten. CVSS-Basiswert: 6.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Das Jenkins Job Import Plugin 143.v044a_2e819b_27 und früher führt an einem HTTP-Endpunkt keine Berechtigungsprüfung durch. Angreifer mit Overall/Read-Berechtigung können dadurch Credential-IDs aus dem Credential-Store aufzählen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Das Jenkins-Proxmox-Plugin in Version 0.5.0 und älter speichert das Passwort des Proxmox-Datacenters unverschlüsselt in der globalen Datei config.xml auf dem Jenkins-Controller. Nutzer mit Zugriff auf das Dateisystem des Controllers können die Zugangsdaten im Klartext auslesen. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: Zugriff auf das Controller-Dateisystem einschränken und auf eine Plugin-Version mit sicherer Zugangsdatenverwaltung aktualisieren.

Das Jenkins Proxmox Plugin 0.7.0 und aeltere Versionen führen in mehreren HTTP-Endpunkten keine Berechtigungsprüfung durch. Angreifer mit der Berechtigung Overall/Read können dadurch einen Verbindungstest zu einem selbst gewählten Host mit selbst gewähltem Benutzernamen und Passwort auslösen, die SSL/TLS-Validierung für die gesamte JVM des Jenkins-Controllers deaktivieren (siehe CVE-2022-28142) und einen Rollback mit selbst gewählten Parametern testen. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: auf eine korrigierte Version des Plugins aktualisieren.

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins Proxmox Plugin 0.7.0 und früher erlaubt Angreifern, eine Verbindung zu einem von ihnen bestimmten Host mit frei gewählten Zugangsdaten aufzubauen (Verbindungstest). Dabei lässt sich als Teil des Verbindungstests die SSL/TLS-Prüfung für die gesamte JVM des Jenkins-Controllers deaktivieren (siehe CVE-2022-28142), zudem kann ein Rollback mit angreiferbestimmten Parametern ausgelöst werden. CVSS-Basiswert: 6.5 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: das Proxmox Plugin auf eine korrigierte Version aktualisieren.

Das Jenkins Active Directory Plugin in Version 2.41.1 und früher maskiert den Benutzernamen nicht, bevor im Windows-nativen (ADSI) Authentifizierungspfad der LDAP-Suchfilter aufgebaut wird, was nicht authentifizierten Angreifern eine Manipulation ermöglicht. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung des betroffenen Plugins nach Verfügbarkeit.