Jenkins

In Jenkins Remoting bis Version 3384.v60d89463d9e0 (jeweils ausser 3355.3357.v931d3c992987), enthalten in Jenkins bis Version 2.575 und LTS bis 2.568.1, wird der JEP-200-Klassenfilter nicht auf bestimmte aufgelöste Klassen angewendet (Detail in der Quelle abgeschnitten). CVSS-Basiswert: 9.0 (Kritisch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Das Jenkins GitHub Plugin 1.46.0 und früher verarbeitet die aktuelle Job-URL im JavaScript zur Validierung der Funktion „GitHub hook trigger for GITScm polling” unsicher. Dies führt zu einer gespeicherten Cross-Site-Scripting-Lücke (Stored XSS). CVSS-Basiswert: 9.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Jenkins OpenID Connect Provider Plugin in Version 96.vee8ed882ec4d und früher basiert die Erzeugung von Build-ID-Tokens auf Werten von Umgebungsvariablen, die überschrieben werden können. In Kombination mit bestimmten weiteren Plugins können Angreifer mit Berechtigung zur Job-Konfiguration ein Build-ID-Token fälschen, das einen vertrauenswürdigen Job vortäuscht. Dadurch lässt sich unberechtigter Zugriff auf externe Dienste erlangen, die diesem Token vertrauen. CVSS-Basiswert: 9.1 (Kritisch).

Im Jenkins WSO2 Oauth Plugin 1.0 und früher akzeptiert die Sicherheitsrealm WSO2 Oauth Authentifizierungs-Claims ohne Prüfung. Dadurch können sich nicht authentifizierte Angreifer mit beliebigem Benutzernamen und Passwort an Controllern anmelden, die diese Realm verwenden, auch mit nicht existierenden Benutzernamen. CVSS-Basiswert: 9.8 (Kritisch).

In den jenkins/ssh-agent Docker-Images 6.11.1 und älter werden bei Debian-basierten Images die SSH-Host-Keys bereits beim Erstellen des Images generiert. Dadurch verwenden alle Container auf Basis derselben Image-Version dieselben SSH-Host-Keys. Angreifer, die sich in den Netzwerkpfad zwischen SSH-Client (typischerweise dem Jenkins-Controller) und SSH-Build-Agent einklinken können, können so den Build-Agent imitieren. CVSS-Basiswert: 9.1 (Kritisch).

In den auf Debian basierenden jenkins/ssh-slave Docker-Images werden SSH-Host-Keys bei der Image-Erstellung generiert, sodass alle Container auf Basis von Images derselben Version dieselben SSH-Host-Keys verwenden. Angreifer, die sich in den Netzwerkpfad zwischen SSH-Client (typischerweise dem Jenkins-Controller) und SSH-Build-Agent einklinken können, können damit den Build-Agent imitieren. CVSS-Basiswert: 9.1 (Kritisch).

Eine Sandbox-Umgehung über manipulierte Konstruktor-Rümpfe im Jenkins Script Security Plugin 1335.vf07d9ce377a_e und früher erlaubt Angreifern mit der Berechtigung, Sandbox-Skripte einschliesslich Pipelines zu definieren und auszuführen, den Sandbox-Schutz zu umgehen und beliebigen Code im Kontext der JVM des Jenkins-Controllers auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

Fehlende Berechtigungsprüfungen im Jenkins MATLAB Plugin 2.11.0 und früher erlauben Angreifern, Jenkins eine XML-Datei aus dem Dateisystem des Jenkins-Controllers parsen zu lassen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das Jenkins MATLAB Plugin in Version 2.11.0 und älter konfiguriert seinen XML-Parser nicht so, dass Angriffe über externe XML-Entitäten (XXE) verhindert werden. Dadurch sind XXE-Angriffe möglich. CVSS-Basiswert: 9.8 (Kritisch).

In Jenkins 2.567 und früher sowie LTS 2.555.2 und früher können Angreifer Jenkins dazu bringen, beliebige in Jenkins-Core oder Plugins definierte Typen aus einer angreiferkontrollierten config.xml zu deserialisieren. CVSS-Basiswert: 8.8 (Hoch); der Angriff ist über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion möglich und wirkt auf Vertraulichkeit, Integrität und Verfügbarkeit. Ausnutzungswahrscheinlichkeit (EPSS): 44.3 % – ein für neue Meldungen ungewöhnlich hoher Wert. Empfohlene Massnahme: auf eine Jenkins-Version oberhalb der genannten Stände aktualisieren.

Das Jenkins Credentials Binding Plugin 719.v80e905ef14eb_ und früher bereinigt Dateinamen für Datei- und ZIP-Datei-Credentials nicht ausreichend. Angreifer mit Schreibzugriff auf Job-Credentials können dadurch Dateien an unvorgesehene Orte schreiben. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.7 %.

Das Jenkins Credentials Binding Plugin 720.v3f6decef43ea_ und früher bereinigt Dateinamen für Datei- und ZIP-Datei-Credentials nicht ausreichend. Angreifer mit Schreibzugriff auf Job-Credentials können dadurch Dateien an beliebige Pfade schreiben. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %.

Jenkins 2.554 und früher sowie LTS 2.541.2 und früher verarbeiten symbolische Links beim Extrahieren von .tar- und .tar.gz-Archiven nicht sicher. Präparierte Archive können dadurch Dateien an beliebige Stellen im Dateisystem schreiben. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

Das Jenkins Script Security Plugin 1402.v94c9ce464861 und früher weist Groovy-AST-Transformations-Annotationen mit einem `extensions`-Member nicht zurück. Dadurch können Angreifer, die Sandbox-Groovy-Skripte ausführen dürfen, die Sandbox umgehen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: auf eine korrigierte Plugin-Version aktualisieren.

In Jenkins 2.579 und früher sowie LTS 2.568.2 und früher sind Objekte betroffen, die ihre Konfiguration in unabhängigen Top-Level-Konfigurationsdateien ablegen, etwa die globale Konfiguration. Die vorliegende Quelle nennt keine weiteren technischen Details zum genauen Angriffsablauf. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins File Parameter Plugin erlaubt in Version 425.v3fa_801681b_5e und früher das Schreiben von Dateien an beliebige Orte im Dateisystem des Jenkins-Controllers über Stapler-Datenbindung. Dies kann zu Remote Code Execution führen. CVSS-Basiswert: 8.8 (Hoch).

Stapler in Version 2107.v8dfcb_e8ed317 und früher (ausser 2088.2093.vd7c3e58008a_6), enthalten in Jenkins 2.579 und früher sowie LTS 2.568.2 und früher, schränkt laut NVD die Typen von Objekten nicht ein, die instanziiert werden können; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Das Jenkins OWASP ZAP Plugin in Version 1.0.7 und früher führt Build-Operationen auf dem Jenkins-Controller statt auf dem zugewiesenen Agenten aus. Dadurch können Angreifer mit der Berechtigung Item/Configure laut Quelle beliebigen Code ausführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

Das Jenkins Email Extension Plugin 1933.v45cec755423f und früher erlaubt das Einbetten von Bildern als Base64 im E-Mail-Inhalt über das Attribut `data-inline`, ohne die verwendeten Bild-URLs einzuschränken. Angreifer können so serverseitige Anfragen an beliebige URLs auslösen (SSRF). CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Das Jenkins Multijob Plugin in Version 669.v9d96a_d9c71b_0 und früher stellt laut NVD Groovy-Scripting-Funktionen bereit, die nicht in das Script Security Plugin integriert sind. Dadurch können Angreifer mit den Berechtigungen Item/Create oder Item/Configure Groovy-Code ohne Sandbox-Absicherung ausführen. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins Performance Plugin beschränkt in Version 1015.v09ca_52b_3370e und früher laut NVD nicht die Klassen, die beim Deserialisieren zwischengespeicherter Performance-Reports im Build-Verzeichnis auf dem Jenkins-Controller instanziiert werden können. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins Script Security Plugin 1402.v94c9ce464861 und früher fängt die impliziten Typumwandlungen bei den Elementen typisierter for-each-Schleifen in sandboxed Groovy-Skripten nicht ab, was Angreifern eine Umgehung der Sandbox ermöglicht. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: das Script Security Plugin auf eine gegenüber 1402.v94c9ce464861 neuere, korrigierte Version aktualisieren.

Eine Path-Traversal-Schwachstelle im Jenkins Allure Plugin bis Version 2.35.2 erlaubt Angreifern mit Item/Read-Berechtigung auf Jobs, die Allure-Report-Ergebnisse veröffentlichen, beliebige Dateien auszulesen. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins Pipeline: Groovy Libraries Plugin 797.v90ea_a_9b_e45a_0 und früher verbietet symbolische Links in Shared Libraries nicht. Angreifer mit Kontrolle über den Inhalt einer verwendeten Bibliothek können so auf Dateien ausserhalb des vorgesehenen Verzeichnisses zugreifen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Jenkins 2.579 und früher sowie LTS 2.568.2 und früher können transiente Felder nicht von der Deserialisierung ausgeschlossen werden. Angreifer, die Konfigurationsaktualisierungen einreichen können, können dadurch Werte transienter Felder festlegen. CVSS-Basiswert: 8.8 (Hoch).

In Jenkins 2.579 und früher sowie LTS 2.568.2 und früher escaped der System-Log-Viewer die Metadaten von Log-Einträgen (Quelle, Level, Zeitstempel) nicht, wodurch eine gespeicherte Cross-Site-Scripting-Lücke (Stored XSS) entsteht. CVSS-Basiswert: 8.8 (Hoch).

Der Jenkins Customizable Header Plugin erlaubt bis Version 295.v2544b_ca_19b_97 über die Stapler-Datenbindung das Überschreiben der Erscheinungsbild-Konfiguration des Plugins. Dadurch können Angreifer eine eigene SVG-Datei konfigurieren. CVSS-Basiswert: 8.8 (Hoch).

Das Jenkins-Plugin SAML erlaubt in Version 4.618.v441a_27fa_46d2 und früher laut NVD über Stapler-Data-Binding das Überschreiben der SAML-Identity-Provider-Metadatendatei. Angreifer können die Datei dadurch durch eine von ihnen kontrollierte Version ersetzen; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Das Jenkins-Plugin Microsoft Entra ID (vormals Azure AD) vergibt in Version 710.v0b_ff8e9cc2d2 und früher laut NVD Entra-Gruppenberechtigungen sowohl über die eindeutige Objekt-ID der Gruppe als auch über deren Anzeigenamen. Angreifer können dies ausnutzen; die Quellbeschreibung bricht vor Nennung des genauen Angriffswegs ab. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Das Jenkins Assembla Plugin 1.4 und früher konfiguriert seinen XML-Parser nicht gegen XML-External-Entity-(XXE)-Angriffe, sodass Angreifer, die die Antworten des konfigurierten Assembla-Servers kontrollieren können, dies ausnutzen können. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Jenkins Multijob Plugin in Version 669.v9d96a_d9c71b_0 und früher besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF), über die Angreifer beliebigen Code im Kontext der Jenkins-Controller-JVM zur Ausführung bringen können. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Betroffen ist laut Zuordnung ausserdem der überwachte Produktbereich Light Code Labs (Caddy).

Das Jenkins Ivy Report Plugin konfiguriert in Version 1.2 und früher seinen XML-Parser nicht so, dass XML-External-Entity(XXE)-Angriffe beim Verarbeiten von Ivy-Report-Dateien verhindert werden. CVSS-Basiswert: 7.1 (Hoch). Eine EPSS-Bewertung liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der in Jenkins gebündelten Stapler-Bibliothek besteht laut NVD in den Versionen 1839.ved17667b_a_eb_5 bis 2107.v8dfcb_e8ed317 (mit Ausnahme von 2088.2093.vd7c3e58008a_6) eine Schwachstelle, die Jenkins 2.447 bis 2.579 sowie LTS 2.452.1 bis 2.568.2 betrifft. Die Quellbeschreibung bricht an dieser Stelle ab und nennt keine weiteren Details zur Art der Schwachstelle. CVSS-Basiswert: 8.8 (Hoch).

Jenkins 2.442 bis 2.554 sowie LTS 2.426.3 bis LTS 2.541.2 berechnet die erwartete Herkunft (Origin) von Anfragen am CLI-WebSocket-Endpunkt fehlerhaft. Dies kann zur Umgehung von Herkunftsprüfungen genutzt werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Jenkins 2.483 bis 2.550 sowie LTS 2.492.1 bis 2.541.1 wird die benutzerdefinierte Beschreibung der „Mark temporarily offline”-Funktion nicht ausreichend maskiert, was eine gespeicherte Cross-Site-Scripting-Lücke (Stored XSS) ermöglicht. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das Jenkins HTML Publisher Plugin 427 und früher maskiert Jobnamen und URLs in der Legacy-Wrapper-Datei nicht korrekt, was eine gespeicherte Cross-Site-Scripting-Lücke (Stored XSS) ermöglicht. Die Lücke ist durch Angreifer mit entsprechenden Berechtigungen ausnutzbar. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Jenkins 2.540 und früher sowie LTS 2.528.2 und früher schliessen HTTP-basierte CLI-Verbindungen nicht korrekt, wenn der Verbindungsstream beschädigt wird. Nicht authentifizierte Angreifer können dies für einen Denial of Service ausnutzen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf eine gepatchte Jenkins-Version aktualisieren.

Das Jenkins Azure CLI Plugin in Version 0.9 und älter schränkt nicht ein, welche Befehle es auf dem Jenkins-Controller ausführt. Dadurch können Angreifer mit der Berechtigung Item/Configure beliebige Shell-Befehle ausführen. CVSS-Basiswert: 8.8 (Hoch).

Im Jenkins SAML Plugin (Version 4.583.vc68232f7018a_ und früher) fehlt ein Replay-Cache: Ein Angreifer, der Informationen über den SAML-Authentifizierungsablauf zwischen dem Browser eines Nutzers und Jenkins abgreifen kann, kann diese Anfragen erneut senden und sich dadurch als der betroffene Nutzer authentifizieren. CVSS-Basiswert: 7.5 (Hoch).

Das Jenkins-JDepend-Plugin in Version 1.3.1 und früher enthält eine veraltete Version des JDepend-Maven-Plugins, dessen XML-Parser nicht gegen XML-External-Entity-Angriffe (XXE) abgesichert ist. CVSS-Basiswert: 7.1 (Hoch).

Das Jenkins Git Parameter Plugin 439.vb_0e46ca_14534 und älter prüft nicht, ob der beim Build übergebene Git-Parameterwert einer der angebotenen Auswahlmöglichkeiten entspricht. Angreifer mit der Berechtigung Item/Build können dadurch beliebige Werte in Git-Parameter einschleusen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Das Jenkins Credentials Binding Plugin maskiert in Versionen bis 687.v619cb_15e923f Zugangsdaten nicht zuverlässig, wenn diese in Exception-Fehlermeldungen auftauchen, die ins Build-Log geschrieben werden. Dadurch können Zugangsdaten im Klartext im Build-Log landen statt durch Sternchen ersetzt zu werden. CVSS-Basiswert: 7.3 (Hoch).

Das Jenkins Gatling Plugin 136.vb_9009b_3d33a_e stellt Gatling-Berichte auf eine Weise bereit, die den mit Jenkins 1.641 und 1.625 eingeführten Content-Security-Policy-Schutz umgeht. Daraus ergibt sich eine Cross-Site-Scripting-Schwachstelle (XSS), die von Benutzern ausgenutzt werden kann, die den Berichtsinhalt verändern können. CVSS-Basiswert: 8.0 (Hoch).