Descripción
Jenkins contiene una vulnerabilidad de ejecución remota de código (RCE). Esta vulnerabilidad podría permitir que atacantes transfieran un objeto Java SignedObject serializado a la Jenkins CLI basada en remoting, el cual sería deserializado usando un nuevo ObjectInputStream, omitiendo el mecanismo de protección existente basado en listas de bloqueo.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de jenkins.io jenkins.io/security/advisory/2017-04-26/
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2017-1000353
Ver el texto original en inglés (CISA)
Jenkins Remote Code Execution Vulnerability
Jenkins contains a remote code execution vulnerability. This vulnerability that could allowed attackers to transfer a serialized Java SignedObject object to the remoting-based Jenkins CLI, that would be deserialized using a new ObjectInputStream, bypassing the existing blocklist-based protection mechanism.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.jenkins.io/security/advisory/2017-04-26/ ; https://nvd.nist.gov/vuln/detail/CVE-2017-1000353
Otras vulnerabilidades de Jenkins en el catálogo
- CVE-2024-23897 Jenkins Command Line Interface (CLI) Path Traversal Vulnerability Alta 19-08-2024
- CVE-2015-5317 Jenkins User Interface (UI) Information Disclosure Vulnerability Alta 12-05-2023
- CVE-2019-1003029 Jenkins Script Security Plugin Sandbox Bypass Vulnerability Alta 25-04-2022
- CVE-2019-1003030 Jenkins Matrix Project Plugin Remote Code Execution Vulnerability Alta 25-03-2022
- CVE-2018-1000861 Jenkins Stapler Web Framework Deserialization of Untrusted Data Vulnerability Alta 10-02-2022