远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2023:7288 公告中提及的多个漏洞影响。

  - snakeyaml：由于缺少集合的嵌套深度限制而导致的拒绝服务漏洞 (CVE-2022-25857)

  - maven-shared-utils：通过命令行类进行的命令注入 (CVE-2022-29599)

  - apache-commons-text：变量插值 RCE (CVE-2022-42889)

  - jenkins-2-plugins/script-security：脚本安全插件中存在沙盒绕过漏洞 (CVE-2023-24422)

  - jenkins-2-plugins/JUnit：JUnit 插件中存在存储型 XSS 漏洞 (CVE-2023-25761)

  - jenkins-2-plugins/pipeline-build-step：Pipeline 中存在存储型 XSS 漏洞：Build Step 插件 (CVE-2023-25762)

  - golang：net/http, x/net/http2：快速流重置可能会导致过多的工作 (CVE-2023-44487) (CVE-2023-39325)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8：Red Hat Product OCP Tools 4.14 Openshift Jenkins (RHSA-2023:7288)

critical Nessus 插件 ID 193753

版本 1.0