Jenkinsプラグイン7件に脆弱性 - アップデートを呼びかけ

Jenkinsの開発チームは11月13日、セキュリティアドバイザリを公開し、複数のプラグインに関する脆弱性を明らかにした。アップデートが呼びかけられている。

7件のプラグインに脆弱性が明らかとなったもの。「OpenId Connect Authentication」では、セッション固定の脆弱性「CVE-2024-52553」が存在。管理者権限を不正に取得されるおそれがある。「Authorize Project」には格納型クロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-52552」が判明した。

さらに「Pipeline:Groovy」や「Pipeline:Declarative」では、承認されていない以前のビルドを再実行できる「CVE-2024-52550」「CVE-2024-52551」が明らかとなっている。

「IvyTrigger」におけるXML外部実体参照（XXE）の脆弱性「CVE-2022-46751」や、「Shared Library Version Override」でセキュリティ機能をバイパスされる「CVE-2024-52554」についても言及した。

これら6件の脆弱性に関しては、重要度を上から2番目にあたる「高（High）」とレーティング。「Script Security」における権限チェック不足の脆弱性「CVE-2024-52549」については、重要度を1段階低い「中（Medium）」とした。

開発チームでは、これらの脆弱性を修正するプラグインのアップデートを提供。利用者に最新版へアップデートするよう呼びかけている。

（Security NEXT - 2024/11/15 ）ツイート

Jenkinsプラグイン7件に脆弱性 - アップデートを呼びかけ

関連リンク

PR

関連記事