Jenkins Multiple Plugin Vulnerabilities: RCE, Arbitrary File Deletion, Credential Leakage

关键信息总结 漏洞详情 Script Security Plugin 漏洞 - CVE: SECURITY-1658 / CVE-2019-16538 - 严重性: 高 - 描述: 通过默认参数表达式绕过沙盒保护，允许在 Jenkins 控制器上下文中执行任意代码。 Support Core Plugin 漏洞 - CVE: SECURITY-1634 / CVE-2019-16539 (权限检查), CVE-2019-16540 (路径遍历) - 严重性: 高 - 描述: 未验证删除支持捆绑包的路径，导致任意文件删除；未进行权限检查，使 Overall/Read 权限的用户能够删除支持捆绑包及相关文件。 Jira Plugin 漏洞 - CVE: SECURITY-1106 / CVE-2019-16541 - 严重性: 中等 - 描述: Jira Plugin 允许基于文件夹的 Jira 站点访问系统范围的凭证，即使访问者无权使用这些凭证。 Anchore Container Image Scanner Plugin 漏洞 - CVE: SECURITY-1539 / CVE-2019-16542 - 严重性: 中等 - 描述: 以明文形式存储 Anchoe.io 服务密码。 Spira Importer Plugin 漏洞 - CVE: SECURITY-1554 / CVE-2019-16543 - 严重性: 低 - 描述: 以明文形式存储凭证。 Google Compute Engine Plugin 漏洞 - CVE: SECURITY-1584 / CVE-2019-16546 - 严重性: 中等 - 描述: 未验证 SSH 主机密钥。 - CVE: SECURITY-1585 / CVE-2019-16547 - 严重性: 中等 - 描述: 向具有 Overall/Read 权限的用户泄露环境信息。 CSRF 漏洞 - CVE: SECURITY-1586 / CVE-2019-16548 - 严重性: 中等 - 描述: 允许攻击者预置代理。 QMetric for JIRA Test Management Plugin 漏洞 - CVE: SECURITY-727(1) / CVE-2019-16544, SECURITY-727(2) / CVE-2019-16545 - 严重性: 中等、低 - 描述: 存储的凭证明文显示及配置表单中的明文密码传送。 漏洞严重性 Medium: SECURITY-727 (1), SECURITY-1106, SECURITY-1539, SECURITY-1584, SECURITY-1585, SECURITY-1586 Low: SECURITY-727 (2), SECURITY-1554 High: SECURITY-1634, SECURITY-1658 影响版本 Anchore Container Image Scanner Plugin: 1.0.19 及之前版本 Google Compute Engine Plugin: 4.1.1 及之前版本 Jira Plugin: 3.0.10 及之前版本 等等 修复措施 升级到提供的最新版本以解决上述漏洞。 报告者 Daniel Beck 等发现并报告了相关漏洞。

目標達成 すべての支援者に感謝 — 100%達成しました！

Jenkins Multiple Plugin Vulnerabilities: RCE, Arbitrary File Deletion, Credential Leakage

目標達成すべての支援者に感謝 — 100%達成しました！