Jenkins插件安全缝隙安全公告

颁布功夫 2019-09-03

?缝隙编号和级别


CVE编号：：：CVE-2019-10348，，危险级别：：：高危，，CVSS分值：：：8.8
CVE编号：：：CVE-2019-10350，，危险级别：：：高危，，CVSS分值：：：8.8
CVE编号：：：CVE-2019-10351，，危险级别：：：高危，，CVSS分值：：：8.8
CVE编号：：：CVE-2019-10378，，危险级别：：：中危，，CVSS分值：：：5.3

CVE编号：：：CVE-2019-10385，，危险级别：：：中危，，CVSS分值：：：6.5


?影响版本


受影响的版本


 OG东方厅·(中国大陆)


?缝隙概述


Jenkins是一种宽泛使用的开源自动化服务器，，允许DevOps开发人员高效、、靠得住地构建，，测试和部署软件�！！！Ｎ顺浞掷肑enkins的�？？？榛芄�，，开发人员利用插件来扩大其主题职能，，允许他们扩大构建步骤的剧性子能�！！！enkins的插件索引中有超过1,600个社区贡献的插件�！！！Ｆ渲幸恍┎寮娲⑽醇用艿拇课谋就创Α！！！Ｈ羰遣菪孤�，，网络犯罪分子能够在组织未知情的情况下接见这些数据�！！！＠糜跋霬enkins插件的缝隙来窃取敏感用户痛处，，当拥有扩大读取权限或接见主文件系统的用户的痛处泄露时，，攻击者也能够接见其他集成服务，，出格是若是用户对分歧的平台或服务使用一样的密码时�！！！�


钻研者披露暗藏在纯文本中的Jenkins插件缝隙如下：：：

CVE-2019-10348


Gogs Plugin是使用在Jenkins的一个将Gogs（自托管Git服务）集成到Jenkins中的插件�！！！enkins中的Gogs插件存在安全缝隙，，该缝隙源于法式将凭证存储为明文大局�！！！９セ髡呖衫酶梅煜恫榭雌局ぁ！！！� 


CVE-2019-10350


Port Allocator Plugin是使用在Jenkins的一个TCP端口分配治理插件�！！！enkins中的Port Allocator插件存在安全缝隙，，该缝隙源于法式将凭证存储为明文大局�！！！９セ髡呖衫酶梅煜恫榭雌局ぁ！！！�


CVE-2019-10351 


Caliper CI Plugin是使用在Jenkins的一个Caliper CI插件�！！！enkins Caliper CI Plugin中存在安全缝隙，，该缝隙源于法式将凭证存储为明文大局�！！！９セ髡呖衫酶梅煜恫榭雌局ぁ！！！� 


CVE-2019-10378


Jenkins中的TestLink Plugin 3.16及之前版本存在信息泄露缝隙�！！！８梅煜对从谕缦低郴虿吩谠诵泄讨写嬖谂渲玫让蟆！！！Ｎ词谌ǖ墓セ髡呖衫梅煜痘袢∈苡跋熳榧舾行畔ⅰ！！！�


CVE-2019-10385


Jenkins eggPlant Plugin 2.2及之前版本中存在信息泄露缝隙，，该缝隙源于法式凭证存储为明文大局�！！！９セ髡呖衫酶梅煜恫榭雌局ぁ！！！� 


?缝隙验证


暂无POC/EXP�！！！�


?修复建议


CVE-2019-10348


目前厂商已颁布升级补丁以修复缝隙，，补丁获取链接：：：https://jenkins.io/security/advisory/2019-07-11/�！！！�


其它几个缝隙目前厂商暂未颁布修复措施解决此安全问题，，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决法子：：：https://jenkins.io/�！！！�


?参考链接


https://blog.trendmicro.com/trendlabs-security-intelligence/hiding-in-plain-text-jenkins-plugin-vulnerabilities/