CVE-2025-68698
WysokieStreszczenie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa PKCS1Encoding, które jest podatne na ataki typu padding oracle (Bleichenbacher). Nowoczesne systemy powinny używać OAEP (Optimal Asymmetric Encryption Padding). Podatność została naprawiona w wersji 2.2.
Ocena ryzyka
Użycie podatnego schematu dopełniania może umożliwić atakującemu odszyfrowanie danych lub podrobienie podpisów, co stanowi poważne zagrożenie dla poufności i integralności.
Rekomendacja
Zaktualizuj bibliotekę Jervis do wersji 2.2 lub nowszej, aby uzyskać poprawkę.
Inne podatności w Jervis
Zobacz wszystkie- CVE-2025-68931Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, AES/CBC/PKCS5Padding nie zapewnia uwierzytelniania, co czyni ją podatną na ataki typu padding oracle i manipulację szyfrogramem.
- CVE-2025-68704Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, Jervis używa java.util.Random(), które nie jest kryptograficznie bezpieczne, do łagodzenia ataków czasowych.
- CVE-2025-68703Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, sól jest wyprowadzana z sha256Sum(passphrase). Dwie operacje szyfrowania z tym samym hasłem będą miały ten sam wyprowadzony klucz.
- CVE-2025-68702Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa padLeft(32, '0') zamiast padLeft(64, '0'), ponieważ SHA-256 generuje 32 bajty, co odpowiada 64 znakom szesnastkowym. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68701Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa deterministycznego wyprowadzania IV dla AES z hasła. Podatność została naprawiona w wersji 2.2.
Oryginalny opis (angielski, źródło NVD)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses PKCS1Encoding which is vulnerable to Bleichenbacher padding oracle attacks. Modern systems should use OAEP (Optimal Asymmetric Encryption Padding). This vulnerability is fixed in 2.2.