Jenkins Security Advisory: Permission Bypass, Sandbox Escape, and Plaintext Storage Vulnerabilities

重要な脆弱性情報 脆弱性概要 公告日付: 2025-04-02 対象となるJenkinsのバージョン: - Jenkins (core) - AsakusaSatellite Plugin - Cadence vManager Plugin - monitor-remote-job Plugin - Simple Queue Plugin - Stack Hammer Plugin - Templating Engine Plugin 脆弱性詳細 1. 権限チェックの欠如によりエージェント設定が取得可能になる - CVE: SECURITY-3512 / CVE-2025-31720 - 重大度: Medium - 説明: Jenkins 2.503およびそれ以前、LTS 2.492.2およびそれ以前において、HTTPエンドポイントで権限チェックが実行されていません。これにより、 権限を持っているが 権限を持っていない攻撃者がエージェントを複製し、その設定にアクセスすることが可能になります。 2. 権限チェックの欠如によりエージェント設定から機密情報が取得可能になる - CVE: SECURITY-3513 / CVE-2025-31721 - 重大度: Medium - 説明: Jenkins 2.503およびそれ以前、LTS 2.492.2およびそれ以前において、HTTPエンドポイントで権限チェックが実行されていません。これにより、 権限を持っているが 権限を持っていない攻撃者が、秘密情報を含むエージェントを複製することが可能になります。 3. Templating Engine Pluginにおけるフォルダスコープのライブラリ経由のスクリプトセキュリティサンドボックス回避 - CVE: SECURITY-3505 / CVE-2025-31722 - 重大度: High - 対象プラグイン: templating-engine - 説明: Templating Engine Plugin 2.5.3およびそれ以前では、フォルダ内で定義されたライブラリはサンドボックス保護を受けません。これにより、 権限を持つ攻撃者が任意のコードを実行することが可能になります。 4. Simple Queue PluginにおけるCSRF脆弱性 - CVE: SECURITY-3469 / CVE-2025-31723 - 重大度: Medium - 対象プラグイン: simple-queue - 説明: Simple Queue Plugin 1.4.6およびそれ以前では、複数のHTTPエンドポイントを処理するPOSTリクエストに検証が要求されないため、クロスサイトリクエストフォージェリ（CSRF）脆弱性が生じます。 5. Cadence vManager PluginによるプレーンテキストでのAPIキーの保存 - CVE: SECURITY-3537 / CVE-2025-31724 - 重大度: Medium - 対象プラグイン: vmanager-plugin - 説明: Cadence vManager Plugin 4.0.0-282.v5096a_c2db_275およびそれ以前では、Verisium Manager vAPIキーがジョブ設定ファイル（config.xml）内にプレーンテキストで保存されます。 6. monitor-remote-job Pluginによるプレーンテキストでのパスワードの保存 - CVE: SECURITY-3539 / CVE-2025-31725 - 重大度: Medium - 対象プラグイン: monitor-remote-job - 説明: monitor-remote-job Plugin 1.0では、パスワードがジョブ設定ファイル（config.xml）内にプレーンテキストで保存されます。 7. Stack Hammer PluginによるプレーンテキストでのAPIキーの保存 - CVE: SECURITY-3520 / CVE-2025-31726 - 重大度: Medium - 対象プラグイン: stackhammer - 説明: Stack Hammer Plugin 1.0.0およびそれ以前では、Stack Hammer APIキーがジョブ設定ファイル（config.xml）内にプレーンテキストで保存されます。 8. AsakusaSatellite PluginによるプレーンテキストでのAPIキーの保存および表示 - CVE: SECURITY-3523 / CVE-2025-31727 (保存), CVE-2025-31728 (マスキング) - 重大度: Medium - 対象プラグイン: asakusa-satellite-plugin - 説明: AsakusaSatellite Plugin 0.1.1およびそれ以前では、AsakusaSatellite APIキーがジョブ設定ファイル（config.xml）内にプレーンテキストで保存され、ジョブ設定フォームにおいてこれらのAPIキーがマスキング（伏字化）されていません。 修正推奨事項 Jenkins weeklyはバージョン2.504に更新してください。 Jenkins LTSはバージョン2.492.3に更新してください。 Cadence vManager Pluginはバージョン4.0.1-286.v9e25a_740b_a_48に更新してください。 Simple Queue Pluginはバージョン1.4.7に更新してください。 Templating Engine Pluginはバージョン2.5.4に更新してください。

目標達成 すべての支援者に感謝 — 100%達成しました！

Jenkins Security Advisory: Permission Bypass, Sandbox Escape, and Plaintext Storage Vulnerabilities

目標達成すべての支援者に感謝 — 100%達成しました！