De quoi il s’agit

Jenkins ist ein erweiterbarer, webbasierter Integration Server zur kontinuierlichen Unterstützung bei Softwareentwicklungen aller Art. Ein Angreifer kann mehrere Schwachstellen in Jenkins Plugins ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen und vertrauliche Informationen zu manipulieren oder offenzulegen.

Dans quelles conditions ?

Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• beliebigen Programmcode auszuführen
• Sicherheitsmaßnahmen zu umgehen
• vertrauliche Informationen zu manipulieren oder offenzulegen

Suis-je concerné ?

Concernés selon le BSI :

• Jenkins Jenkins Active Directory Plugin <2.41.2
• Jenkins Jenkins Bitbucket Push and Pull Request Plugin <3.3.9
• Jenkins Jenkins Contrast Continuous Application Security Plugin <3.12
• Jenkins Jenkins EC2 Fleet Plugin <4.2.3.540.va_6eedb_7b_c112
• Jenkins Jenkins External Workspace Manager Plugin <1.4.0
• Jenkins Jenkins Git client Plugin <6.6.1
• Jenkins Jenkins Git Parameter Plugin <462.463.v496a_59f698e5
• Jenkins Jenkins Gitee Plugin <1292.v2559f2f3f2c0
• Jenkins Jenkins GitHub Branch Source Plugin <1967.1970.vd86979736546
• Jenkins Jenkins Job Configuration History Plugin <1367.vc8fa_b_15101dc
• Jenkins Jenkins MCP Server Plugin <0.178.vffe5a_e770f3b_
• Jenkins Jenkins Pipeline: Groovy Plugin <4331.4333.v50a_b_076c5199

et 7 autres

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Jenkins Jenkins Active Directory Plugin 2.41.2
• Jenkins Jenkins Bitbucket Push and Pull Request Plugin 3.3.9
• Jenkins Jenkins Contrast Continuous Application Security Plugin 3.12
• Jenkins Jenkins EC2 Fleet Plugin 4.2.3.540.va_6eedb_7b_c112
• Jenkins Jenkins External Workspace Manager Plugin 1.4.0
• Jenkins Jenkins Git client Plugin 6.6.1
• Jenkins Jenkins Git Parameter Plugin 462.463.v496a_59f698e5
• Jenkins Jenkins Gitee Plugin 1292.v2559f2f3f2c0
• Jenkins Jenkins GitHub Branch Source Plugin 1967.1970.vd86979736546
• Jenkins Jenkins Job Configuration History Plugin 1367.vc8fa_b_15101dc
• Jenkins Jenkins MCP Server Plugin 0.178.vffe5a_e770f3b_
• Jenkins Jenkins Pipeline: Groovy Plugin 4331.4333.v50a_b_076c5199

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.