CVE-2026-53435
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne – atakujący może uzyskać pełną kontrolę nad serwerem Jenkins, wykraść poufne dane, uruchomić złośliwy kod i podszywać się pod uprawnionych użytkowników, co może prowadzić do naruszenia integralności całego procesu CI/CD.
Rekomendacja
Należy natychmiast zaktualizować Jenkinsa do wersji 2.568 lub nowszej (LTS 2.555.3 lub nowszej). Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do interfejsu Jenkinsa tylko dla zaufanych sieci i użytkowników oraz monitorować nietypowe zgłoszenia `config.xml`.
Oryginalny opis (angielski, źródło NVD)
In Jenkins 2.567 and earlier, LTS 2.555.2 and earlier, it is possible for attackers to have Jenkins deserialize arbitrary types defined in Jenkins core or plugins from an attacker-controlled `config.xml` submission in a way that allows them to handle HTTP requests afterwards. This can be used to impersonate any user and send HTTP requests on their behalf, up to and including use of the Script Console to run arbitrary code, or to read arbitrary files from the Jenkins controller.