De quoi il s’agit

Jenkins ist ein erweiterbarer, webbasierter Integration Server zur kontinuierlichen Unterstützung bei Softwareentwicklungen aller Art. Ein Angreifer kann mehrere Schwachstellen in Jenkins ausnutzen, um beliebigen Code auszuführen, Daten zu manipulieren, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen sowie Cross-Site-Scripting- oder Phishing-Angriffe durchzuführen.

Dans quelles conditions ?

Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• beliebigen Code auszuführen
• Daten zu manipulieren
• Sicherheitsmaßnahmen zu umgehen
• vertrauliche Informationen offenzulegen sowie Cross-Site-Scripting- oder Phishing-Angriffe durchzuführen

Suis-je concerné ?

Concernés selon le BSI :

• Jenkins Jenkins Credentials Binding Plugin <720.v3f6decef43ea
• Jenkins Jenkins GitHub Plugin <1.46.0.1
• Jenkins Jenkins GitHub Branch Source Plugin <1967.1969.v205fd594c821
• Jenkins Jenkins HTML Publisher Plugin <427.1
• Jenkins Jenkins Matrix Authorization Strategy Plugin <3.2.10
• Jenkins Jenkins Microsoft Entra ID Plugin <667.v4c5827a_e74a_0
• Jenkins Jenkins Script Security Plugin <1402.v94c9ce464861

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Jenkins Jenkins Credentials Binding Plugin 720.v3f6decef43ea
• Jenkins Jenkins GitHub Plugin 1.46.0.1
• Jenkins Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821
• Jenkins Jenkins HTML Publisher Plugin 427.1
• Jenkins Jenkins Matrix Authorization Strategy Plugin 3.2.10
• Jenkins Jenkins Microsoft Entra ID Plugin 667.v4c5827a_e74a_0
• Jenkins Jenkins Script Security Plugin 1402.v94c9ce464861

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.