Jenkins多个插件安全漏洞公告(CSRF/XXE/凭证明文存储)

关键漏洞信息 1. CSRF漏洞和分析核心插件中缺失的权限检查 严重性: 中等 受影响插件: analysis-core 描述: 未对配置表单和表单提交处理程序执行权限检查，允许具有Job/Read访问权限的攻击者更改所有用户的每个作业的默认图形配置。此外，表单提交处理程序未要求POST请求，导致跨站点请求伪造漏洞。 2. 站点监控插件全局无条件禁用SSL/TLS证书验证 严重性: 中等 受影响插件: sitemonitor 描述: 无条件禁用了整个Jenkins控制器JVM的SSL/TLS证书验证。现有一个选项为每个站点检查单独忽略SSL/TLS错误。 3. 通过Swarm插件客户端UDP广播响应的XXE漏洞 严重性: 中等 受影响插件: swarm 描述: 未配置XML解析器以防止XML外部实体（XXE）处理，允许网络上的未授权攻击者使Swarm客户端解析使用外部实体的恶意制作的XML响应，以读取Swarm客户端的任意文件或进行拒绝服务攻击。 4. Ansible Tower插件中的CSRF漏洞和缺失的权限检查导致捕获凭据 严重性: 中等 受影响插件: ansible-tower 描述: 未在实现表单验证的方法上执行权限检查，允许具有Overall/Read访问权限的用户使用攻击者指定的URL连接到Jenkins，使用通过另一种方法获得的攻击者指定的凭据ID，捕获Jenkins中存储的凭据。此表单验证方法未要求POST请求，导致跨站点请求伪造漏洞。 5. 用户可通过Ansible Tower插件枚举凭据ID 严重性: 中等 受影响插件: ansible-tower 描述: 未检查权限，允许具有Overall/Read权限的任何用户获取有效凭据ID列表，这些凭据ID可用于利用另一漏洞捕获凭据。 6. Microsoft Entra ID插件以明文存储凭据 严重性: 低 受影响插件: azure-ad 描述: 以未加密形式将客户端机密存储在Jenkins控制器上的全局config.xml配置文件中，这些凭据可由具有Jenkins控制器文件系统访问权限的用户查看。 7. Twitter插件以明文存储凭据 严重性: 低 受影响插件: twitter 描述: 以未加密形式在其全局配置文件中存储凭据，这些凭据可由具有Jenkins控制器文件系统访问权限的用户查看。 8. Koji插件全局无条件禁用SSL/TLS证书验证 严重性: 中等 受影响插件: koji 描述: 无条件禁用了整个Jenkins控制器JVM的SSL/TLS证书验证。 9. GitHub认证插件中OAuth回调的CSRF漏洞 严重性: 中等 受影响插件: github-oauth 描述: 未管理OAuth的状态参数以防止CSRF，允许攻击者在身份验证过程中使用OAuth获取重定向URL并将其发送给受害者，如果受害者已连接到Jenkins，其Jenkins帐户将连接到攻击者的GitHub帐户。 10. Aqua MicroScanner插件以明文存储凭据 严重性: 低 受影响插件: aqua-microscanner 描述: 以未加密形式在其全局配置文件中存储凭据，这些凭据可由具有Jenkins控制器文件系统访问权限的用户查看。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Jenkins多个插件安全漏洞公告(CSRF/XXE/凭证明文存储)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！