XXE vulnerability in Jenkins Job Import Plugin

緊急 9.1CVE-2019-1003015 · GHSA-882r-r8fw-p538 · 06/02/2019 公開 · 17/06/2026 更新

要点

CVE-2019-1003015 は org.jenkins-ci.plugins:job-import-plugin, job import (jenkins) に影響する深刻度「緊急」 (CVSS 9.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.8%（全脆弱性の 78.8% より高い）。
対処：3.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:job-import-plugin Maven	`< 3.0`	`3.0`
job import jenkins	`≤ 2.1`	修正版なし

概要

An XML external entity (XXE) processing vulnerability exists in Jenkins Job Import Plugin 2.1 and earlier in src/main/java/org/jenkins/ci/plugins/jobimport/client/RestApiClient.java that allows attackers with the ability to control the HTTP server (Jenkins) queried in preparation of job import to read arbitrary files, perform a denial of service attack, etc.

NVD の説明

An XML external entity processing vulnerability exists in Jenkins Job Import Plugin 2.1 and earlier in src/main/java/org/jenkins/ci/plugins/jobimport/client/RestApiClient.java that allows attackers with the ability to control the HTTP server (Jenkins) queried in preparation of job import to read arbitrary files, perform a denial of service attack, etc.