CVE-2015-8103
KrytyczneStreszczenie
Podsystem CLI w Jenkins przed wersją 1.638 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany zserializowany obiekt Java. Problem dotyczy pliku commons-collections-*.jar oraz wariantu Groovy w 'ysoserial'.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem Jenkins oraz dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację Jenkins do wersji 1.638 lub nowszej oraz LTS do wersji 1.625.2 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
The Jenkins CLI subsystem in Jenkins before 1.638 and LTS before 1.625.2 allows remote attackers to execute arbitrary code via a crafted serialized Java object, related to a problematic webapps/ROOT/WEB-INF/lib/commons-collections-*.jar file and the "Groovy variant in 'ysoserial'".