CVE-2025-68702
WysokieStreszczenie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa padLeft(32, '0') zamiast padLeft(64, '0'), ponieważ SHA-256 generuje 32 bajty, co odpowiada 64 znakom szesnastkowym. Podatność została naprawiona w wersji 2.2.
Ocena ryzyka
Nieprawidłowe dopełnienie skrótu może prowadzić do błędów w generowaniu identyfikatorów lub niezgodności w przetwarzaniu danych, co może wpłynąć na integralność operacji w Jenkinsie.
Rekomendacja
Zaktualizuj bibliotekę Jervis do wersji 2.2 lub nowszej, aby uzyskać poprawkę.
Inne podatności w Jervis
Zobacz wszystkie- CVE-2025-68931Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, AES/CBC/PKCS5Padding nie zapewnia uwierzytelniania, co czyni ją podatną na ataki typu padding oracle i manipulację szyfrogramem.
- CVE-2025-68704Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, Jervis używa java.util.Random(), które nie jest kryptograficznie bezpieczne, do łagodzenia ataków czasowych.
- CVE-2025-68703Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, sól jest wyprowadzana z sha256Sum(passphrase). Dwie operacje szyfrowania z tym samym hasłem będą miały ten sam wyprowadzony klucz.
- CVE-2025-68701Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa deterministycznego wyprowadzania IV dla AES z hasła. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68698Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa PKCS1Encoding, które jest podatne na ataki typu padding oracle (Bleichenbacher). Nowoczesne systemy powinny używać OAEP (Optimal Asymmetric Encryption Padding). Podatność została naprawiona w wersji 2.2.
Oryginalny opis (angielski, źródło NVD)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses padLeft(32, '0') when it should use padLeft(64, '0') because SHA-256 produces 32 bytes which equates to 64 hex characters. This vulnerability is fixed in 2.2.