De quoi il s’agit

Jenkins ist ein erweiterbarer, webbasierter Integration Server zur kontinuierlichen Unterstützung bei Softwareentwicklungen aller Art. Ein Angreifer kann mehrere Schwachstellen in Jenkins ausnutzen, um beliebigen Code auszuführen, Berechtigungen zu erweitern, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, Daten zu manipulieren sowie Cross-Site-Scripting- (XSS) oder Server-Side-Request-Forgery- (SSRF) Angriffe durchzuführen.

Dans quelles conditions ?

Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• beliebigen Code auszuführen
• Berechtigungen zu erweitern
• Sicherheitsmaßnahmen zu umgehen
• vertrauliche Informationen offenzulegen
• Daten zu manipulieren sowie Cross-Site-Scripting- (XSS) oder Server-Side-Request-Forgery- (SSRF) Angriffe durchzuführen

Suis-je concerné ?

Concernés selon le BSI :

• Jenkins Jenkins weekly <2.576
• Jenkins Jenkins LTS <2.568.2
• Jenkins Jenkins External Workspace Manager <1.4.2
• Jenkins Jenkins HCL AppScan <1.8.4
• Jenkins Jenkins Multijob <677.v7ffc23d6a_4c2
• Jenkins Jenkins SCM-Manager <1.12.1
• Jenkins Jenkins Webhook Secret Credentials Provider <32.v09c9b_522f0a_8
• Jenkins Jenkins AWS CodeBuild <=0.59
• Jenkins Jenkins CodeSonar <=3.6.0
• Jenkins Jenkins Google Chat Notification <=166.ve6b_de280f2e8
• Jenkins Jenkins Horreum <=0.16.162.v33b_4a_a_b_5f828
• Jenkins Jenkins Ivy Report <=1.2

et 6 autres

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Jenkins Jenkins weekly 2.576
• Jenkins Jenkins LTS 2.568.2
• Jenkins Jenkins External Workspace Manager 1.4.2
• Jenkins Jenkins HCL AppScan 1.8.4
• Jenkins Jenkins Multijob 677.v7ffc23d6a_4c2
• Jenkins Jenkins SCM-Manager 1.12.1
• Jenkins Jenkins Webhook Secret Credentials Provider 32.v09c9b_522f0a_8
• Jenkins Jenkins AWS CodeBuild <=0.59
• Jenkins Jenkins CodeSonar <=3.6.0
• Jenkins Jenkins Google Chat Notification <=166.ve6b_de280f2e8
• Jenkins Jenkins Horreum <=0.16.162.v33b_4a_a_b_5f828
• Jenkins Jenkins Ivy Report <=1.2

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.