CVE-2025-68704
WysokieStreszczenie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, Jervis używa java.util.Random(), które nie jest kryptograficznie bezpieczne, do łagodzenia ataków czasowych.
Ocena ryzyka
Ryzyko zwiększonej podatności na ataki czasowe, co może umożliwić atakującemu odgadnięcie wrażliwych informacji, takich jak tokeny lub klucze.
Rekomendacja
Zaktualizuj Jervis do wersji 2.2 lub nowszej, aby wyeliminować podatność.
Inne podatności w Jervis
Zobacz wszystkie- CVE-2025-68931Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, AES/CBC/PKCS5Padding nie zapewnia uwierzytelniania, co czyni ją podatną na ataki typu padding oracle i manipulację szyfrogramem.
- CVE-2025-68703Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, sól jest wyprowadzana z sha256Sum(passphrase). Dwie operacje szyfrowania z tym samym hasłem będą miały ten sam wyprowadzony klucz.
- CVE-2025-68702Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa padLeft(32, '0') zamiast padLeft(64, '0'), ponieważ SHA-256 generuje 32 bajty, co odpowiada 64 znakom szesnastkowym. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68701Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa deterministycznego wyprowadzania IV dla AES z hasła. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68698Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa PKCS1Encoding, które jest podatne na ataki typu padding oracle (Bleichenbacher). Nowoczesne systemy powinny używać OAEP (Optimal Asymmetric Encryption Padding). Podatność została naprawiona w wersji 2.2.
Oryginalny opis (angielski, źródło NVD)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses java.util.Random() which is not cryptographically secure for timing attack mitigation. This vulnerability is fixed in 2.2.