根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - 低危，Structs 插件提供在管道（举例）中使用的实用工具功能以通常在执行之前实例化和配置构建步骤。当 Structs 插件 337.v1b_04ea_4df7c8 和更早版本无法配置构建步骤时，其会记录警告消息，其中包含诊断信息，该信息可能包含作为步骤参数传递的密码。这可通过默认系统日志导致意外泄露机密。Structs 插件 338.v848422169819 在记录这些警告消息之前检查实际参数的类型，如果涉及机密，还需要将详细的诊断信息限制为 FINE 级别日志消息。这些日志消息未显示在默认的 Jenkins 系统日志中。(CVE-2024-39458)

  - 中危，创建机密文件凭据时，Plain Credentials 插件 182.v468b_97b_9dcb_8 和更低版本会尝试解密文件内容，以检查其是否构成有效的加密机密。在极少数情况下，文件内容与加密密钥的预期格式匹配，并且文件内容将以未加密的方式（仅编码的 Base64）存储在 Jenkins 控制器文件系统上。具有 Jenkins 控制器文件系统（全局凭证）访问权限或 Item/Extended Read 权限（文件夹范围内凭证）的用户可以查看这些凭证。未加密存储的机密文件凭证无法使用，因为它们会在使用期间被解密。因此，任何已成功使用的机密文件凭据都不会受到影响。Plain Credentials 插件 183.va_de8f1dd5a_2b_ 在创建机密文件凭据时，不再尝试解密文件内容。(CVE-2024-39459)

  - 中危，Bitbucket Branch Source 插件 886.v44cf5e4ecec5 及更早版本在某些情况下，会将 Bitbucket OAuth 访问标记打印为构建日志中 Bitbucket URL 的一部分。Bitbucket Branch Source 插件 887.va_d359b_3d2d8d 不会将 Bitbucket OAuth 访问令牌包含为构建日志中 Bitbucket URL 的一部分。(CVE-2024-39460)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Jenkins 插件多个漏洞 (2024-06-26)

medium Nessus 插件 ID 201047

版本 1.1