Worum es geht

Jenkins ist ein erweiterbarer, webbasierter Integration Server zur kontinuierlichen Unterstützung bei Softwareentwicklungen aller Art. Ein Angreifer kann mehrere Schwachstellen in Jenkins Plugins ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen und vertrauliche Informationen zu manipulieren oder offenzulegen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• beliebigen Programmcode auszuführen
• Sicherheitsmaßnahmen zu umgehen
• vertrauliche Informationen zu manipulieren oder offenzulegen

Bin ich betroffen?

Betroffen sind laut BSI:

• Jenkins Jenkins Active Directory Plugin <2.41.2
• Jenkins Jenkins Bitbucket Push and Pull Request Plugin <3.3.9
• Jenkins Jenkins Contrast Continuous Application Security Plugin <3.12
• Jenkins Jenkins EC2 Fleet Plugin <4.2.3.540.va_6eedb_7b_c112
• Jenkins Jenkins External Workspace Manager Plugin <1.4.0
• Jenkins Jenkins Git client Plugin <6.6.1
• Jenkins Jenkins Git Parameter Plugin <462.463.v496a_59f698e5
• Jenkins Jenkins Gitee Plugin <1292.v2559f2f3f2c0
• Jenkins Jenkins GitHub Branch Source Plugin <1967.1970.vd86979736546
• Jenkins Jenkins Job Configuration History Plugin <1367.vc8fa_b_15101dc
• Jenkins Jenkins MCP Server Plugin <0.178.vffe5a_e770f3b_
• Jenkins Jenkins Pipeline: Groovy Plugin <4331.4333.v50a_b_076c5199

und 7 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Jenkins Jenkins Active Directory Plugin 2.41.2
• Jenkins Jenkins Bitbucket Push and Pull Request Plugin 3.3.9
• Jenkins Jenkins Contrast Continuous Application Security Plugin 3.12
• Jenkins Jenkins EC2 Fleet Plugin 4.2.3.540.va_6eedb_7b_c112
• Jenkins Jenkins External Workspace Manager Plugin 1.4.0
• Jenkins Jenkins Git client Plugin 6.6.1
• Jenkins Jenkins Git Parameter Plugin 462.463.v496a_59f698e5
• Jenkins Jenkins Gitee Plugin 1292.v2559f2f3f2c0
• Jenkins Jenkins GitHub Branch Source Plugin 1967.1970.vd86979736546
• Jenkins Jenkins Job Configuration History Plugin 1367.vc8fa_b_15101dc
• Jenkins Jenkins MCP Server Plugin 0.178.vffe5a_e770f3b_
• Jenkins Jenkins Pipeline: Groovy Plugin 4331.4333.v50a_b_076c5199

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.