CVE-2026-70426
KrytyczneCVSS 9.0Streszczenie
W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu lub eskalacji uprawnień w Jenkinsie, co może prowadzić do pełnej kompromitacji serwera CI/CD.
Rekomendacja
Zaktualizuj Jenkins do wersji nowszej niż 2.575 (lub LTS nowszej niż 2.568.1). Ogranicz uprawnienia Agent/Connect tylko do zaufanych podmiotów.
Oryginalny opis (angielski, źródło NVD)
In Remoting 3384.v60d89463d9e0 and earlier, except 3355.3357.v931d3c992987, included in Jenkins 2.575 and earlier, LTS 2.568.1 and earlier, the JEP-200 class filter is not applied to classes resolved via a fallback path in the Remoting deserialization implementation, allowing agent processes, code running on agents, and attackers with Agent/Connect permission to bypass the JEP-200 deserialization filter for classes on the Jenkins core classpath.