Jenkins Security Advisory: Stored XSS, XXE, CSRF, and Plaintext Password Storage in Multiple Plugins

Jenkins セキュリティアドバイザリ 2022-03-29 影響を受けるプラグイン: Bitbucket Server Integration Plugin Continuous Integration with Toad Edge Plugin Coverage/Complexity Scatter Plot Plugin Flaky Test Handler Plugin Instant Messaging Plugin JiraTestResultReporter Plugin Job and Node Ownership Plugin Pipeline: Phoenix AutoTest Plugin Proxmox Plugin RocketChat Notifier Plugin SiteMonitor Plugin Tests Selector Plugin 脆弱性 1. Bitbucket Server Integration Plugin における保管型 XSS 脆弱性 - CVE: SECURITY-2639 / CVE-2022-28133 - 深刻度: 高 - 説明: Bitbucket Server Integration Plugin は、コールバック URL の URL スキームを制限していません。 2. Bitbucket Server Integration Plugin におけるアクセス権限チェックの欠如 - CVE: SECURITY-2640 / CVE-2022-28134 - 深刻度: 中 - 説明: プラグインは、複数の HTTP エンドポイントでアクセス権限チェックを実行していません。 3. Instant Messaging Plugin によるパスワードの平文での保存 - CVE: SECURITY-2161 / CVE-2022-28135 - 深刻度: 低 - 説明: グループチャットのパスワードが、グローバル設定ファイルに暗号化されずに保存されます。 4. JiraTestResultReporter Plugin における CSRF 脆弱性とアクセス権限チェックの欠如 - CVE: SECURITY-2236 / CVE-2022-28136 - 深刻度: 中 - 説明: プラグインは、HTTP メソッドでアクセス権限チェックを実行していません。 5. RocketChat Notifier Plugin における CSRF 脆弱性とアクセス権限チェックの欠如 - CVE: SECURITY-2241 / CVE-2022-28138 - 深刻度: 中 - 説明: プラグインは、HTTP メソッドでアクセス権限チェックを実行していません。 6. Flaky Test Handler Plugin における XXE 脆弱性 - CVE: SECURITY-1896 / CVE-2022-28140 - 深刻度: 高 - 説明: プラグインは、XML 外部エンティティ攻撃を防ぐために XML パーサーを設定していません。 7. Proxmox Plugin によるパスワードの平文での保存 - CVE: SECURITY-2079 / CVE-2022-28141 - 深刻度: 低 - 説明: Proxmox Plugin は、パスワードをグローバル設定ファイルに暗号化されずに保存します。 8. Proxmox Plugin による SSL/TLS 証明書検証のグローバル無効化 - CVE: SECURITY-2081 / CVE-2022-28142 - 深刻度: 中 - 説明: SSL/TLS 証明書検証が無効になっています。 9. Proxmox Plugin における CSRF 脆弱性とアクセス権限チェックの欠如 - CVE: SECURITY-2082 / CVE-2022-28143 - 深刻度: 中 - 説明: プラグインはアクセス権限チェックを実行していません。 深刻度 高: SECURITY-1892, SECURITY-1896, SECURITY-1899, SECURITY-2639, SECURITY-1932 中: SECURITY-2062 (2), SECURITY-2079, SECURITY-2161, SECURITY-2241, SECURITY-2654, SECURITY-2683, SECURITY-2685 低: SECURITY-2161 影響を受けるバージョン Bitbucket Server Integration Plugin 3.1.0 以下 Continuous Integration with Toad Edge Plugin 2.3 以下 Coverage/Complexity Scatter Plot Plugin 1.1.1 以下 Flaky Test Handler Plugin 1.2.1 以下 Instant Messaging Plugin 1.4.1 以下 JiraTestResultReporter Plugin 165.v817928553942 以下 Job and Node Ownership Plugin 0.13.0 以下 Pipeline: Phoenix AutoTest Plugin 1.3 以下 修正 影響を受けるプラグインを最新バージョンに更新します。

目標達成 すべての支援者に感謝 — 100%達成しました！

Jenkins Security Advisory: Stored XSS, XXE, CSRF, and Plaintext Password Storage in Multiple Plugins

目標達成すべての支援者に感謝 — 100%達成しました！