Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Jenkins opravuje 4 zraniteľnosti
Jenkins verziami 2.500 (vydanie weekly) a 2.492.2 (vydanie LTS) opravuje 4 zraniteľnosti [1].
Autentizovanému vzdialenému útočníkovi s oprávnením Agent/Extended Read (v konfigurácii agent) alebo View/Read (v konfigurácii view) je umožnené čítať šifrované hodnoty Secrets v config.xml cez REST API alebo CLI [1][2].
Zraniteľnosť sa nachádza v produktoch:
- *:Jenkins weekly;<=2.499;
- *:Jenkins LTS;<=2.492.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2025-27622 na cve.org, NVD
- CVE-2025-27623 na cve.org, NVD
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 5. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené vykonať útok CSRF [1].
Zraniteľnosť sa nachádza v produktoch:
- *:Jenkins weekly;<=2.499;
- *:Jenkins LTS;<=2.492.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
Viac informácií:
- CVE-2025-27624 na cve.org, NVD
- CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 5. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva a špeciálne vytvorenej URL adresy umožnené presmerovať obeť na potenciálne škodlivú stránku [1].
Zraniteľnosť sa nachádza v produktoch:
- *:Jenkins weekly;<=2.499;
- *:Jenkins LTS;<=2.492.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Viac informácií:
- CVE-2025-27625 na cve.org, NVD
- CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 5. 3. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 6. 3. 2025.