Jenkins Reverse Proxy Auth Plugin allows attackers with local file system access to obtain a list of authorities for logged in users

低 3.3CVE-2018-1000150 · GHSA-m9j2-grqf-fg26 · 05/04/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1000150 は org.jenkins-ci.plugins:reverse-proxy-auth-plugin, reverse proxy auth (jenkins) に影響する深刻度「低」 (CVSS 3.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.34%（全脆弱性の 27.9% より高い）。
対処：1.6.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:reverse-proxy-auth-plugin Maven	`< 1.6.0`	`1.6.0`
reverse proxy auth jenkins	`≤ 1.5`	修正版なし

概要

An exposure of sensitive information vulnerability exists in Jenkins Reverse Proxy Auth Plugin 1.5 and older in ReverseProxySecurityRealm#authContext that allows attackers with local file system access to obtain a list of authorities for logged in users. Reverse Proxy Auth Plugin 1.6.0 and newer no longer store the cache of granted authorities on disk.

NVD の説明