NVD Vulnerability Detail

CVE-2016-0792

Summary	Multiple unspecified API endpoints in Jenkins before 1.650 and LTS before 1.642.2 allow remote authenticated users to execute arbitrary code via serialized data in an XML file, related to XStream and groovy.util.Expando.
Publication Date	April 8, 2016, 8:59 a.m.
Registration Date	Jan. 26, 2021, 2:04 p.m.
Last Update	Nov. 21, 2024, 11:42 a.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:jenkins:jenkins::::::::			1.649

Configuration2		or higher	or less	more than	less than
cpe:2.3:a:redhat:openshift:3.1::::enterprise:::

Configuration3		or higher	or less	more than	less than
cpe:2.3:a:jenkins:jenkins:::::lts:::*			1.642.1

Related information, measures and tools

No	URL	タグ
1	http://rhn.redhat.com/errata/RHSA-2016-1773.html
2	http://rhn.redhat.com/errata/RHSA-2016-1773.html
3	https://access.redhat.com/errata/RHSA-2016:0711
4	https://access.redhat.com/errata/RHSA-2016:0711
5	https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2016-02-24	Patch Vendor Advisory
6	https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2016-02-24	Patch Vendor Advisory
7	https://www.contrastsecurity.com/security-influencers/serialization-must-die-act-2-xstream	Exploit
8	https://www.contrastsecurity.com/security-influencers/serialization-must-die-act-2-xstream	Exploit
9	https://www.exploit-db.com/exploits/42394/
10	https://www.exploit-db.com/exploits/42394/
11	https://www.exploit-db.com/exploits/43375/
12	https://www.exploit-db.com/exploits/43375/

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-20	不適切な入力確認	https://cwe.mitre.org/data/definitions/20.html

JVN Vulnerability Information

Jenkins の不特定の API エンドポイントにおける任意のコードを実行される脆弱性

Title	Jenkins の不特定の API エンドポイントにおける任意のコードを実行される脆弱性
Summary	Jenkins の不特定の API エンドポイントには、XStream および groovy.util.Expando に関する処理に不備があるため、任意のコードを実行される脆弱性が存在します。
Possible impacts	リモート認証されたユーザにより、シリアル化された XML ファイルを介して、任意のコードを実行される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Feb. 24, 2016, midnight
Registration Date	April 12, 2016, 4:52 p.m.
Last Update	Aug. 29, 2016, 6:18 p.m.

Affected System

レッドハット

Red Hat OpenShift Enterprise 3.1 x86_64

Jenkins プロジェクト

Jenkins 1.650 未満

Jenkins LTS 1.642.2 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2016-0792	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0792
National Vulnerability Database (NVD)
2	CVE-2016-0792	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0792

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-20	https://jvndb.jvn.jp/ja/cwe/CWE-20.html

ベンダー情報

No	Name	URL
Jenkins Security Advisory
1	Jenkins Security Advisory 2016-02-24 (SECURITY-247)	https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2016-02-24
Red Hat Security Advisory
2	RHSA-2016:0711	https://access.redhat.com/errata/RHSA-2016:0711

Change Log

No	Changed Details	Date of change
0	[2016年04月12日] 掲載 [2016年07月01日] タイトル：内容を更新概要：内容を更新影響を受けるシステム：内容を更新 [2016年08月29日] 影響を受けるシステム：ベンダ情報の追加に伴い内容を更新ベンダ情報：レッドハット (RHSA-2016:0711) を追加	Feb. 17, 2018, 10:37 a.m.