「Jenkins」のコアやプラグインに複数の脆弱性

「Jenkins」の開発チームは現地時間10月2日、セキュリティアドバイザリを公開し、アップデートで複数の脆弱性に対処したことを明らかにした。

具体的には、複数行のテキストエリアに含まれるシークレット情報がエラーメッセージを介して漏洩する脆弱性「CVE-2024-47803」が判明。さらに「コマンドライン」や「REST API」においてアイテムの作成制限がバイパスされる脆弱性「CVE-2024-47804」が明らかとなった。

一方「OpenId Connect Authentication Plugin」では、IDトークンにおけるオーディエンスや発行者のクレームを検証しない脆弱性「CVE-2024-47806」「CVE-2024-47807」が判明。攻撃者が認証フローを回避し、管理者権限を取得できるおそれがある。

また「Credentials Plugin」では、暗号化された資格情報が特権ユーザーに表示される問題「CVE-2024-47805」が見つかっている。

開発チームでは、「CVE-2024-47806」「CVE-2024-47807」の共通脆弱性評価システム「CVSSv3.1」におけるベーススコアをともに「8.1」、重要度を「高（High）」とした。他脆弱性については、CVSS基本値をいずれも「4.3」としており、「中（Medium）」とレーティングしている。

開発チームでは、「Jenkins 2.479」「同2.462.3」をリリース。プラグインに対してもアップデートを提供しており、利用者に注意を呼びかけている。

（Security NEXT - 2024/10/08 ）ツイート

「Jenkins」のコアやプラグインに複数の脆弱性

関連リンク

PR

関連記事