CVE-2025-68931
WysokieStreszczenie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, AES/CBC/PKCS5Padding nie zapewnia uwierzytelniania, co czyni ją podatną na ataki typu padding oracle i manipulację szyfrogramem.
Ocena ryzyka
Ryzyko naruszenia poufności i integralności danych szyfrowanych przez Jervis, co może umożliwić atakującemu odszyfrowanie lub modyfikację danych.
Rekomendacja
Zaktualizuj Jervis do wersji 2.2 lub nowszej, aby wyeliminować podatność.
Inne podatności w Jervis
Zobacz wszystkie- CVE-2025-68704Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, Jervis używa java.util.Random(), które nie jest kryptograficznie bezpieczne, do łagodzenia ataków czasowych.
- CVE-2025-68703Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2, sól jest wyprowadzana z sha256Sum(passphrase). Dwie operacje szyfrowania z tym samym hasłem będą miały ten sam wyprowadzony klucz.
- CVE-2025-68702Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa padLeft(32, '0') zamiast padLeft(64, '0'), ponieważ SHA-256 generuje 32 bajty, co odpowiada 64 znakom szesnastkowym. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68701Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa deterministycznego wyprowadzania IV dla AES z hasła. Podatność została naprawiona w wersji 2.2.
- CVE-2025-68698Wysokie
Jervis to biblioteka dla skryptów wtyczki Job DSL i współdzielonych bibliotek potoków Jenkinsa. Przed wersją 2.2 Jervis używa PKCS1Encoding, które jest podatne na ataki typu padding oracle (Bleichenbacher). Nowoczesne systemy powinny używać OAEP (Optimal Asymmetric Encryption Padding). Podatność została naprawiona w wersji 2.2.
Oryginalny opis (angielski, źródło NVD)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, AES/CBC/PKCS5Padding lacks authentication, making it vulnerable to padding oracle attacks and ciphertext manipulation. This vulnerability is fixed in 2.2.