RHCOS 4：OpenShift Container Platform 4.9.56 (RHSA-2023: 0777)

critical Nessus 插件 ID 189442

语言：

简介

远程 Red Hat CoreOS 主机缺少 OpenShift Container Platform 4.9.56 的一个或多个安全更新。

描述

远程 Red Hat Enterprise Linux CoreOS 4 主机上安装的程序包受到 RHSA-2023: 公告中所述的一个漏洞的影响。

- 未按照适用于 Native Apps 的 OAuth 2.0 的 RFC 实现 PKCE 支持。如果不使用 PKCE，授权服务器返回的授权代码不足以保证发出初始授权请求的客户端就是将要获得授权的客户端。攻击者可通过在客户端上使用恶意应用程序来获取授权代码，并用其获得受保护资源的授权。这会影响低于 1.31.0 的程序包 com.google.oauth-client: google-oauth-client。(CVE-2020-7692)

- SnakeYaml 的 Constructor() 类不限制反序列化期间可实例化的类型。
反序列化攻击者提供的 yaml 内容可导致远程代码执行。我们建议在解析不受信任的内容时使用 SnakeYaml 的 SafeConsturctor 以限制反序列化。我们建议升级到 2.0 或更高版本。(CVE-2022-1471)

- 在 Eclipse Jetty HTTP/2 服务器实现中，当遇到无效的 HTTP/2 请求时，错误处理中的一个缺陷可最终导致程序无法正确清理活动连接和相关资源。这可导致拒绝服务情况，系统没有足够的资源来处理正常请求。(CVE-2022-2048)

- 程序包 org.yaml: snakeyaml 0 至 1.31 版容易受到拒绝服务 (DoS) 攻击，这是因为缺少针对集合的嵌套深度限制。(CVE-2022-25857)

- Jenkins Script Security 插件 1158.v7c1b_73a_69a_08 及更低版本存在跨站请求伪造 (CSRF) 漏洞，允许攻击者造成 Jenkins 向攻击者指定的 Web 服务器发送 HTTP 请求。
(CVE-2022-30946)

- 在 Jenkins Pipeline SCM API for Blue Ocean 插件 1.25.3 及更早版本中，具有 Job/Configure 权限的攻击者可以利用 Jenkins 中任何攻击者指定用户的私有凭据存储区中存储的攻击者指定 ID 访问凭据。(CVE-2022-30952)

- Jenkins Blue Ocean 插件 1.25.3 及更早版本中存在跨站请求伪造 (CSRF) 漏洞，允许攻击者连接到其指定的 HTTP 服务器。(CVE-2022-30953)

- 在 Jenkins BlueOcean Plugin 1.25.3 及更早版本中，有多个 HTTP 端点未执行权限检查，从而允许具有“Overall/Read”权限的攻击者连接到其指定的 HTTP 服务器。(CVE-2022-30954)

- 在 Jenkins 2.355 及更早版本、LTS 2.332.3 及更早版本中，在使用 Jenkins 用户数据库安全域时，登录表单上可观察到的时序差异允许区分使用无效用户名的登录尝试与使用有效用户名和错误密码的登录尝试。(CVE-2022-34174)

- Jenkins Git 插件 4.11.3 及更早版本中存在一个跨站请求伪造 (CSRF) 漏洞，攻击者可利用该漏洞触发配置为使用攻击者指定的 Git 存储库的作业版本，并导致攻击者检出他们指定的提交。 (CVE-2022-36882)

- Jenkins Git 插件 4.11.3 及更早版本中缺少权限检查，未经身份验证的攻击者可利用该漏洞触发配置为使用攻击者指定的 Git 存储库的作业版本，并导致攻击者检出他们指定的提交。(CVE-2022-36883)

- Jenkins Git 插件 4.11.3 及更早版本中的 webhook 端点会向未经身份验证的攻击者提供有关存在作业的信息，该作业被配置为使用攻击者指定的 Git 存储库。
(CVE-2022-36884)

- Jenkins GitHub 插件 1.34.4 及之前版本在检查提供的 Webhook 标记和计算的 Webhook 签名是否相等时使用非常量时间比较函数，这允许攻击者使用统计方法获取有效的 Webhook 签名。(CVE-2022-36885)

- Jenkins Script Security 插件 1183.v774b_0b_0a_a_451 及之前版本中存在一个涉及 Groovy 语言运行时隐式执行多种转换的沙盒绕过漏洞，允许具有定义和运行沙盒脚本（包括管道）的攻击者绕过沙盒保护并在 Jenkins 控制器 JVM 的上下文执行任意代码。(CVE-2022-43401)

- 存在一个沙盒绕过漏洞，涉及由 Jenkins 管道中的 Groovy 语言运行时隐式执行的各种转换：Groovy 插件 2802.v5ea_628154b_c2 及之前版本允许具有定义和运行沙盒脚本（包括 Pipeline）权限的攻击者绕过沙盒保护并在 Jenkins 控制器 JVM 的上下文中执行任意代码。(CVE-2022-43402)

- Jenkins Script Security 插件 1183.v774b_0b_0a_a_451 及之前版本中存在一个涉及将类数组值转换为数组类型的沙盒绕过漏洞，允许具有定义和运行沙盒脚本（包括管道）的攻击者绕过沙盒保护并在 Jenkins 控制器 JVM 的上下文执行任意代码。(CVE-2022-43403)

- Jenkins Script Security 插件 1183.v774b_0b_0a_a_451 及之前版本中存在一个涉及特制的构造函数本体和对沙盒生成的合成构建函数的调用的沙盒绕过漏洞，允许具有定义和运行沙盒脚本（包括管道）的攻击者绕过沙盒保护并在 Jenkins 控制器 JVM 的上下文执行任意代码。(CVE-2022-43404)

- Jenkins 管道中存在沙盒绕过漏洞：Groovy Libraries 插件 612.v84da_9c54906d 及之前版本允许具有定义不受信任的管道库以及定义和运行沙盒脚本（包括管道）权限的攻击者绕过沙盒保护并在 Jenkins 控制器 JVM 的上下文中执行任意代码。(CVE-2022-43405)

- Jenkins 管道中存在沙盒绕过漏洞：已弃用的 Groovy Libraries 插件 583.vf3b_454e43966 及之前版本允许具有定义不受信任的管道库以及定义和运行沙盒脚本（包括管道）权限的攻击者绕过沙盒保护并在 Jenkins 控制器 JVM 的上下文中执行任意代码。(CVE-2022-43406)

- Jenkins 管道：Input Step 插件 451.vf1a_a_4f405289 及之前版本未限制或审查“输入”步骤的可选指定 ID，该 ID 用于处理给定“输入”步骤的用户交互（继续或中止）且未正确编码的 URL。这使得攻击者能配置管道以便让 Jenkins 从“输入”步骤 ID 构建 URL，这些 URL 可在与“输入”步骤交互时绕过 Jenkins 中任何目标 URL 的 CSRF 保护。 (CVE-2022-43407)

- Jenkins 管道：Stage View 插件 2.26 及之前版本在使用“输入”步骤的 ID 生成 URL 以继续进行或中止管道构建时未正确为此 ID 编码，从而允许攻击者配置管道以指定“输入”步骤 ID，导致生成的 URL 将绕过 Jenkins 中任何目标 URL 的 CSRF 保护。 (CVE-2022-43408)

- Jenkins 管道：支持性 API 插件 838.va_3a_087b_4055b 及之前版本未审查或正确编码构建日志中发送 POST 请求的 URL，导致存在存储的跨站脚本 (XSS) 漏洞，能够创建管道的攻击者可利用此漏洞。 (CVE-2022-43409)

- Apache MINA SSHD <= 2.9.1 中的 org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider 类使用 Java 反序列化加载经序列化的 java.security.PrivateKey。类是指使用 Apache MINA SSHD 的实现者可选择用来加载 SSH 服务器主机密钥的多个实现之一。(CVE-2022-45047)

- Jenkins 脚本安全插件 1189.vb_a_b_7c8fd5fde 和更早版本将整个脚本的批准存储为脚本的 SHA-1 哈希值，从而使其容易受到碰撞攻击。(CVE-2022-45379)

- Jenkins JUnit 插件 1159.v0b_396e1e07dd 和更早版本以不安全的方式将测试报告输出中的 HTTP(S) URL 转换为可点击的链接，从而导致具有“项目/配置”权限的攻击者可利用存储型跨站脚本 (XSS) 漏洞。(CVE-2022-45380)

- Jenkins Pipeline Utility Steps 插件 2.13.1 和更早版本不会限制启用的前缀插值器集合，并且捆绑了 Apache Commons Configuration 库的版本，该库默认启用了“file:”前缀插值器，这使得攻击者能够配置管道来读取 Jenkins 控制器文件系统中的任意文件。(CVE-2022-45381)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。