CVE-2026-70426
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu lub eskalacji uprawnień w Jenkinsie, co może prowadzić do pełnej kompromitacji serwera CI/CD.
Rekomendacja
Zaktualizuj Jenkins do wersji nowszej niż 2.575 (lub LTS nowszej niż 2.568.1). Ogranicz uprawnienia Agent/Connect tylko do zaufanych podmiotów.
Inne podatności w Jenkins
Zobacz wszystkie- CVE-2016-3726Wysokie
Wiele podatności typu open redirect w Jenkins przed wersją 2.3 oraz LTS przed 1.651.2 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe, co może prowadzić do ataków phishingowych.
- CVE-2016-0792Wysokie
Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.
- CVE-2015-7538Wysokie
Jenkins w wersjach przed 1.640 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed CSRF za pomocą nieokreślonych wektorów.
- CVE-2015-7537Wysokie
W podatności CVE-2015-7537 występuje luka CSRF w Jenkins przed wersją 1.640 oraz LTS przed wersją 1.625.2, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów poprzez nieokreślone wektory związane z metodą HTTP GET.
- CVE-2015-5325Wysokie
Jenkins w wersjach przed 1.638 oraz LTS przed 1.625.2 umożliwia atakującym obejście zamierzonych ograniczeń dostępu z slave do mastera poprzez wykorzystanie JNLP slave.
- CVE-2014-2063Wysokie
Jenkins w wersjach przed 1.551 oraz LTS przed 1.532.2 umożliwia zdalnym atakującym przeprowadzanie ataków clickjacking za pomocą nieokreślonych wektorów.
- CVE-2014-3666Wysokie
Jenkins w wersjach przed 1.583 oraz LTS przed 1.565.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet wysłany do kanału CLI.
- CVE-2026-53435Wysokie
W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.
- CVE-2024-23897KrytyczneAktywnie exploitowane
Jenkins w wersjach 2.441 i wcześniejszych oraz LTS 2.426.2 i wcześniejszych nie wyłącza funkcji parsera CLI, która zastępuje znak '@' poprzedzający ścieżkę pliku zawartością tego pliku. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików w systemie plików kontrolera Jenkins.
- CVE-2018-1000861KrytyczneAktywnie exploitowane
Stapler web framework używany przez Jenkins 2.153 i wcześniejsze oraz LTS 2.138.3 i wcześniejsze ma podatność na wykonanie kodu, która pozwala atakującym na wywoływanie niektórych metod na obiektach Java poprzez dostęp do spreparowanych adresów URL, które nie były przeznaczone do takiego wywołania.
Oryginalny opis (angielski, źródło NVD)
In Remoting 3384.v60d89463d9e0 and earlier, except 3355.3357.v931d3c992987, included in Jenkins 2.575 and earlier, LTS 2.568.1 and earlier, the JEP-200 class filter is not applied to classes resolved via a fallback path in the Remoting deserialization implementation, allowing agent processes, code running on agents, and attackers with Agent/Connect permission to bypass the JEP-200 deserialization filter for classes on the Jenkins core classpath.