Jenkins Plugin Security Advisory: Auth Bypass, XSS, XXE, Session Fixation

このウェブページのスクリーンショットから、以下の脆弱性に関する重要情報を取得できます： 1. 脆弱性の説明： - Script Security Plugin における権限チェックの欠如：Script Security Plugin の 1367.vdf2fc45f229c 及びそれより古いバージョン（ただし 1365.1367.va_3b_b_89f8a_95b_ および 1362.1364.v4cf2dc5d8776 は除く）は、フォーム検証メソッドの実装時に権限チェックを行っていません。 - Pipeline: Groovy Plugin における取り消されたスクリプト承認後のビルド再構築の許可：Pipeline: Groovy Plugin の 3990.vd281dd77a_388 及びそれより古いバージョン（ただし 3975.3977.v478dd9e956c3 は除く）は、ビルドを再構築する際に、メイン（Jenkinsfile）スクリプトの承認が取り消されているかどうかをチェックしていません。 - Pipeline: Declarative Plugin における取り消されたスクリプト承認後のビルド再起動の許可：Pipeline: Declarative Plugin の 2.2214.vb_b_34b_2ea_9b_83 及びそれより古いバージョンは、ビルドを再起動する際に、メイン（Jenkinsfile）スクリプトの承認が取り消されているかどうかをチェックしていません。 - Authorize Project Plugin におけるストアードXSS脆弱性：Authorize Project Plugin の 1.7.2 及びそれより古いバージョンは、承認ビューで JavaScript を含む文字列を評価しています。 - OpenID Connect Authentication Plugin におけるセッション固定脆弱性：OpenID Connect Authentication Plugin の 4.418.vccc7061f5b_6d 及びそれより古いバージョンは、ログイン時に既存のセッションをクリアしていません。 - IvyTrigger Plugin におけるXXE脆弱性：IvyTrigger Plugin の 1.01 及びそれより古いバージョンには、CVE-2022-46751 の影響を受ける Apache Ivy のバージョンがバンドルされています。 - Shared Library Version Override Plugin におけるスクリプトセキュリティバイパス脆弱性：Shared Library Version Override Plugin の 17.v786074c9fce7 及びそれより古いバージョンは、フォルダレベルでのライブラリオーバーライドを宣言しており、スクリプトセキュリティサンドボックス内で実行されていません。 2. 影響を受けるバージョン： - Authorize Project Plugin：1.7.2 及びそれより古いバージョン。 - IvyTrigger Plugin：1.01 及びそれより古いバージョン。 - OpenID Connect Authentication Plugin：4.418.vccc7061f5b_6d 及びそれより古いバージョン。 - Pipeline: Declarative Plugin：2.2214.vb_b_34b_2ea_9b_83 及びそれより古いバージョン。 - Pipeline: Groovy Plugin：3990.vd281dd77a_388 及びそれより古いバージョン。 - Script Security Plugin：1367.vdf2fc45f229c 及びそれより古いバージョン。 - Shared Library Version Override Plugin：17.v786074c9fce7 及びそれより古いバージョン。 3. 修正措置： - 影響を受けるプラグインを最新バージョンに更新して、脆弱性を修正します。 4. クレジット： - バグを報告してくださった方々、特に Daniel Beck と Kevin Guerroudj に感謝します。 これらの情報により、ユーザーはどのプラグインにセキュリティ上の脆弱性があるかを理解し、最新バージョンへの更新によってこれらの脆弱性を修正する方法を知ることができます。

目標達成 すべての支援者に感謝 — 100%達成しました！

Jenkins Plugin Security Advisory: Auth Bypass, XSS, XXE, Session Fixation

目標達成すべての支援者に感謝 — 100%達成しました！