CVSS: 9.0EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000393
https://notcve.org/view.php?id=CVE-2017-1000393
Jenkins 2.73.1 and earlier, 2.83 and earlier users with permission to create or configure agents in Jenkins could configure a launch method called 'Launch agent via execution of command on master'. This allowed them to run arbitrary shell commands on the master node whenever the agent was supposed to be launched. Configuration of this launch method now requires the Run Scripts permission typically only granted to administrators. Los usuarios de Jenkins 2.73.1 y anteriores y 2.83 y anteriores con permiso para crear o configurar agentes podrían configurar un método de inicio llamado "Launch agent via execution of command on master". Esto les permitía ejecutar comandos shell arbitrarios en el nodo del servidor maestro cada vez que se supone que se iba a iniciar el agente. • https://jenkins.io/security/advisory/2017-10-11 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000395
https://notcve.org/view.php?id=CVE-2017-1000395
Jenkins 2.73.1 and earlier, 2.83 and earlier provides information about Jenkins user accounts which is generally available to anyone with Overall/Read permissions via the /user/(username)/api remote API. This included e.g. Jenkins users' email addresses if the Mailer Plugin is installed. The remote API now no longer includes information beyond the most basic (user ID and name) unless the user requesting it is a Jenkins administrator. Jenkins 2.73.1 y anteriores y 2.83 y anteriores proporciona información sobre las cuentas de usuario de Jenkins, lo que suele estar disponible para cualquier usuario con permisos Overall/Read mediante la API remota /user/(username)/api. • https://jenkins.io/security/advisory/2017-10-11 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000398
https://notcve.org/view.php?id=CVE-2017-1000398
The remote API in Jenkins 2.73.1 and earlier, 2.83 and earlier at /computer/(agent-name)/api showed information about tasks (typically builds) currently running on that agent. This included information about tasks that the current user otherwise has no access to, e.g. due to lack of Item/Read permission. This has been fixed, and the API now only shows information about accessible tasks. La API remota en Jenkins 2.73.1 y anteriores y 2.83 y anteriores en /computer/(agent-name)/api mostraba información sobre tareas (normalmente builds) que se están ejecutando en el agente. Esto incluía información sobre tareas que, de otra forma, no son accesibles para el usuario actual, por ejemplo, debido a la falta de permisos Item/Read. • https://jenkins.io/security/advisory/2017-10-11 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 7.3EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000391
https://notcve.org/view.php?id=CVE-2017-1000391
Jenkins versions 2.88 and earlier and 2.73.2 and earlier stores metadata related to 'people', which encompasses actual user accounts, as well as users appearing in SCM, in directories corresponding to the user ID on disk. These directories used the user ID for their name without additional escaping, potentially resulting in problems like overwriting of unrelated configuration files. Jenkins, en versiones 2.88 y anteriores y versiones 2.73.2 y anteriores almacena metadatos relacionados con "people", que incluye cuentas reales de usuario, así como usuarios que aparecen en SCM en directorios que corresponden con el ID de usuario en disco. Estos directorios empleaban el ID de usuario para su nombre sin escape adicional, lo que puede resultar en problemas como la sobrescritura de archivos de configuración no relacionados. • http://www.securityfocus.com/bid/101773 https://jenkins.io/security/advisory/2017-11-08 • CWE-20: Improper Input Validation •
CVSS: 8.1EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000503
https://notcve.org/view.php?id=CVE-2017-1000503
A race condition during Jenkins 2.81 through 2.94 (inclusive); 2.89.1 startup could result in the wrong order of execution of commands during initialization. This could in rare cases result in failure to initialize the setup wizard on the first startup. This resulted in multiple security-related settings not being set to their usual strict default. Una condición de carrera durante el inicio de Jenkins 2.81 hasta la versión 2.94 (incluida) y la versión 2.89.1 podría desembocar en un orden incorrecto de ejecución de comandos durante el proceso de inicialización. En contadas ocasiones, esto podría resultar en el error a la hora de inicializar el asistente de instalación durante el primer inicio. • https://jenkins.io/security/advisory/2017-12-14 • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') •