Jenkins Multiple Plugins Vulnerabilities Advisory: Credential Leakage, XSS, Injection

重要な脆弱性情報 脆弱性情報 Credentials Binding Plugin における認証情報の誤タグ付け - 説明：特定の状況下では、認証情報が正しくタグ付けされていないため、機密情報が漏洩する可能性がある。 - 例： ステップを使用する際、認証情報が正しくタグ付けされていないと、ログに表示されることがある。 HTML Publisher Plugin におけるファイルパス情報の漏洩 - 説明：プラグインが HTML 出力の中にファイルパス情報を公開する可能性がある。 - 例：生成された HTML ファイルに、サーバー上の絶対パスが含まれることがある。 Git Parameter Plugin におけるパラメータ値の検証不足 - 説明：Git パラメータの値に対する入力の検証が欠落しており、インジェクション攻撃のリスクがある。 - 例：悪意のあるユーザーが特定のパラメータ値を使用して、セキュリティ問題をトリガーできる。 Aqua Security Scanner Plugin、Statistics Gathering Plugin、ReadyAPI Functional Testing Plugin、Applitools Eyes Plugin、Qmetry Test Management Plugin、Testigma Test Plan Runner Plugin、IFTTT Build Notifier Plugin、IBM Cloud DevOps Plugin、Spice Loadtest Plugin、Dead Man's Snitch Plugin、Maddy Plugin、Novoza DexCloud Plugin、Kryptonite Plugin、Sentridus API Plugin、Warrior Framework Plugin、Xoon Plugin、Userlist Ufacial Plugin における API キー、トークン、または認証情報の平文での保存および表示 - 説明：これらのプラグインは、API キーやトークンなどの機密情報を平文で保存・表示しており、悪用されるリスクが増大している。 - 例：設定ファイルやログに API キーが直接表示される。 Applitools Eyes Plugin における保存型 XSS の脆弱性 - 説明：プラグインに保存型クロスサイトスクリプティング（XSS）の脆弱性があり、攻撃者が悪意のあるスクリプトを注入できる。 - 例：特定の入力を介して、攻撃者はページ上で任意の JavaScript コードを実行できる。 深刻度 高危険：Aqua Security Scanner Plugin, Statistics Gathering Plugin, ReadyAPI Functional Testing Plugin, Applitools Eyes Plugin, Qmetry Test Management Plugin, IFTTT Build Notifier Plugin, IBM Cloud DevOps Plugin, Spice Loadtest Plugin, Dead Man's Snitch Plugin, Maddy Plugin, Novoza DexCloud Plugin, Kryptonite Plugin, Sentridus API Plugin, Warrior Framework Plugin, Xoon Plugin, Userlist Ufacial Plugin 中危険：Credentials Binding Plugin, HTML Publisher Plugin, Git Parameter Plugin 影響を受けるバージョン Jenkins および複数のプラグインの特定バージョンが影響を受けており、詳細なバージョン番号はアナウンスの詳細を参照のこと。 修正措置 影響を受ける Jenkins プラグインを最新バージョンに更新する。 機密情報が平文で保存および表示されないよう、プラグインの設定を見直し強化する。 インジェクション攻撃を防ぐため、入念に入力検証を実施する。 Web アプリケーションファイアウォール（WAF）などの防護対策を展開し、XSS などの攻撃リスクを軽減する。 謝辞 この脆弱性を発見し、報告してくれたセキュリティ研究者およびコミュニティメンバーに感謝します。

目標達成 すべての支援者に感謝 — 100%達成しました！

Jenkins Multiple Plugins Vulnerabilities Advisory: Credential Leakage, XSS, Injection

目標達成すべての支援者に感謝 — 100%達成しました！