「Jenkins」のコアやプラグインに複数の脆弱性
「Jenkins」の開発チームは現地時間10月2日、セキュリティアドバイザリを公開し、アップデートで複数の脆弱性に対処したことを明らかにした。
具体的には、複数行のテキストエリアに含まれるシークレット情報がエラーメッセージを介して漏洩する脆弱性「CVE-2024-47803」が判明。さらに「コマンドライン」や「REST API」においてアイテムの作成制限がバイパスされる脆弱性「CVE-2024-47804」が明らかとなった。
一方「OpenId Connect Authentication Plugin」では、IDトークンにおけるオーディエンスや発行者のクレームを検証しない脆弱性「CVE-2024-47806」「CVE-2024-47807」が判明。攻撃者が認証フローを回避し、管理者権限を取得できるおそれがある。
また「Credentials Plugin」では、暗号化された資格情報が特権ユーザーに表示される問題「CVE-2024-47805」が見つかっている。
開発チームでは、「CVE-2024-47806」「CVE-2024-47807」の共通脆弱性評価システム「CVSSv3.1」におけるベーススコアをともに「8.1」、重要度を「高(High)」とした。他脆弱性については、CVSS基本値をいずれも「4.3」としており、「中(Medium)」とレーティングしている。
開発チームでは、「Jenkins 2.479」「同2.462.3」をリリース。プラグインに対してもアップデートを提供しており、利用者に注意を呼びかけている。
(Security NEXT - 2024/10/08 )
ツイート
PR
関連記事
個人情報書類を誤廃棄、庁内書庫への引継ぎ時に判明 - 大阪市
組織内の「SaaS」や「生成AI」リスクを可視化するソリューション
石光商事のランサム被害、SIM搭載PC経由でサーバを侵害
ゆうパックの郵便局控えなど約4万件を紛失 - 兵庫県の郵便局
システム管理用メールドメインがスパム踏み台に - ヤンマーG
シャープ通販サイトでクレカ情報など個人情報流出の可能性
NVIDIAのデータ処理ユニットに複数の脆弱性が判明
DDoS攻撃、前月から約3割減、最大攻撃規模も縮小 - IIJレポート
「WordPress」向け生成AI活用プラグインにRCE脆弱性
「PAN-OS」に含まれるOSS脆弱性を修正 - 重大な影響なし