CVE-2025-68703
WysokieStreszczenie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, sól jest wyprowadzana z sha256Sum(passphrase). Dwie operacje szyfrowania z tym samym hasłem będą miały ten sam wyprowadzony klucz.
Ocena ryzyka
Ryzyko, że wielokrotne szyfrowanie tym samym hasłem prowadzi do identycznych kluczy, co może ułatwić atakującemu odgadnięcie klucza lub złamanie szyfrowania.
Rekomendacja
Zaktualizuj Jervis do wersji 2.2 lub nowszej, aby wyeliminować podatność.
Inne podatności w Jervis
Zobacz wszystkie- CVE-2025-68931Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, AES/CBC/PKCS5Padding nie zapewnia uwierzytelniania, co czyni ją podatną na ataki typu padding oracle i manipulację szyfrogramem.
- CVE-2025-68704Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, Jervis używa java.util.Random(), które nie jest kryptograficznie bezpieczne, do łagodzenia ataków czasowych.
- CVE-2025-68702Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa padLeft(32, '0') zamiast padLeft(64, '0'), ponieważ SHA-256 generuje 32 bajty, co odpowiada 64 znakom szesnastkowym. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68701Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa deterministycznego wyprowadzania IV dla AES z hasła. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68698Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa PKCS1Encoding, które jest podatne na ataki typu padding oracle (Bleichenbacher). Nowoczesne systemy powinny używać OAEP (Optimal Asymmetric Encryption Padding). Podatność została naprawiona w wersji 2.2.
Oryginalny opis (angielski, źródło NVD)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, the salt is derived from sha256Sum(passphrase). Two encryption operations with the same password will have the same derived key. This vulnerability is fixed in 2.2.