Jenkins Multiple Plugins Vulnerabilities Advisory: XSS, SSRF, Sandbox Bypass, Session Hijacking

このウェブページのスクリーンショットから、脆弱性に関する以下の重要な情報を取得できます。 1. 脆弱性の説明： - Script Security Plugin：検証メソッドで権限チェックが行われておらず、Overall/Read 権限を持つ攻撃者がコントローラーのファイルシステム内にファイルが存在するかどうかを確認できます。 - Pipeline: Groovy Plugin：再構築前にメインスクリプトの承認ステータスをチェックしていないため、Item/Build 権限を持つ攻撃者が承認されていないビルドを再構築できます。 - Pipeline: Declarative Plugin：再起動前にメインスクリプトの承認ステータスをチェックしていないため、Item/Build 権限を持つ攻撃者が承認されていないビルドを再起動できます。 - Authorize Project Plugin：認可ビューで JavaScript を含む文字列を評価する際に、ドキュメント型定義（DOM）操作などが適切に行われていないため、保存型クロスサイトスクリプティング（XSS）脆弱性が生じます。 - OpenID Connect Authentication Plugin：ログイン時に既存のセッションをクリアしていないため、攻撃者が社会的エンジニアリング攻撃を通じて管理者権限を奪取できます。 - IvyTrigger Plugin：ビルドトリガーにおいて攻撃者が入力ファイルを制御できるため、XML 外部エンティティ（XXE）解析脆弱性が生じます。 - Shared Library Version Override Plugin：設定ファイルにおいてフォルダーレベルのライブラリオーバーライドが適切に処理されていないため、攻撃者がスクリプトセキュリティサンドボックスをバイパスできます。 2. 影響を受けるバージョン： - Authorize Project Plugin：1.7.2 以前 - IvyTrigger Plugin：1.01 以前 - OpenID Connect Authentication Plugin：4.418.vccc7061f5b_6d 以前 - Pipeline: Declarative Plugin：2.2214.vb_b_34b_2ea_9b_83 以前 - Pipeline: Groovy Plugin：3990.vd281dd77a_388 以前 - Script Security Plugin：1367.vdf2fc45f229c 以前 - Shared Library Version Override Plugin：17.v786074c9fce7 以前 3. 修正措置： - 脆弱性の修正のために、影響を受けるプラグインを最新バージョンに更新してください。 4. クレジット： - ダニエル・ベック（Daniel Beck）およびケヴィン・ゲルロウドジ（Kevin Guerroudj）を含む、脆弱性を報告した方々に感謝申し上げます。 これらの情報により、ユーザーはどのプラグインにセキュリティ脆弱性があるか、および最新バージョンへの更新によってこれらの脆弱性をどのように修正できるかを把握することができます。

目標達成 すべての支援者に感謝 — 100%達成しました！

Jenkins Multiple Plugins Vulnerabilities Advisory: XSS, SSRF, Sandbox Bypass, Session Hijacking

目標達成すべての支援者に感謝 — 100%達成しました！