| Title | Jenkins の不特定の API エンドポイントにおける任意のコードを実行される脆弱性 |
|---|---|
| Summary | Jenkins の不特定の API エンドポイントには、XStream および groovy.util.Expando に関する処理に不備があるため、任意のコードを実行される脆弱性が存在します。 |
| Possible impacts | リモート認証されたユーザにより、シリアル化された XML ファイルを介して、任意のコードを実行される可能性があります。 |
| Solution | ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | Feb. 24, 2016, midnight |
| Registration Date | April 12, 2016, 4:52 p.m. |
| Last Update | Aug. 29, 2016, 6:18 p.m. |
| CVSS3.0 : 重要 | |
| Score | 8.8 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| CVSS2.0 : 危険 | |
| Score | 9 |
|---|---|
| Vector | AV:N/AC:L/Au:S/C:C/I:C/A:C |
| レッドハット |
| Red Hat OpenShift Enterprise 3.1 x86_64 |
| Jenkins プロジェクト |
| Jenkins 1.650 未満 |
| Jenkins LTS 1.642.2 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 0 | [2016年04月12日] 掲載 [2016年07月01日] タイトル：内容を更新 概要：内容を更新 影響を受けるシステム：内容を更新 [2016年08月29日] 影響を受けるシステム：ベンダ情報の追加に伴い内容を更新 ベンダ情報：レッドハット (RHSA-2016:0711) を追加 |
Feb. 17, 2018, 10:37 a.m. |
| Summary | Multiple unspecified API endpoints in Jenkins before 1.650 and LTS before 1.642.2 allow remote authenticated users to execute arbitrary code via serialized data in an XML file, related to XStream and groovy.util.Expando. |
|---|---|
| Publication Date | April 8, 2016, 8:59 a.m. |
| Registration Date | Jan. 26, 2021, 2:04 p.m. |
| Last Update | Nov. 21, 2024, 11:42 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:jenkins:jenkins:*:*:*:*:*:*:*:* | 1.649 | ||||
| Configuration2 | or higher | or less | more than | less than | |
| cpe:2.3:a:redhat:openshift:3.1:*:*:*:enterprise:*:*:* | |||||
| Configuration3 | or higher | or less | more than | less than | |
| cpe:2.3:a:jenkins:jenkins:*:*:*:*:lts:*:*:* | 1.642.1 | ||||