CVE-2017-1000353
Təsvir
Jenkins versiyaları 2.56 və daha əvvəlki, həmçinin 2.46.1 LTS və daha əvvəlki versiyalar autentifikasiyasız uzaqdan kodun icrasına qarşı həssasdır. Autentifikasiyasız uzaqdan kodun icrası zəifliyi hücumçulara Jenkins CLI-ya seriyallaşdırılmış Java `SignedObject` obyektini ötürməyə imkan verirdi ki, bu da mövcud qara siyahıya əsaslanan mühafizə mexanizmini yan keçərək yeni bir `ObjectInputStream` vasitəsilə deseriyallaşdırılırdı. Biz `SignedObject`-i qara siyahıya əlavə etməklə bu problemi aradan qaldırırıq. Həmçinin, Jenkins 2.54-dən yeni HTTP CLI protokolunu LTS 2.46.2 versiyasına tətbiq edirik və remoting-ə əsaslanan (yəni Java seriyallaşdırması) CLI protokolunu köhnəlmiş elan edərək onu standart olaraq deaktiv edirik.
Necə düzəltmək olar
İstehsalçının tövsiyə etdiyi tədbirləri tətbiq edin. Tədbir yoxdursa, məhsuldan istifadəni dayandırın.
CISA son tarixi: 23 okt 2025- org.jenkins-ci.main:jenkins-core2.57, 2.46.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jenkins jenkins | v ≤ 2.56, v ≤ 2.46.1 | — |
| oracle communications_cloud_native_core_automated_test_suite | 1.9.0 | — |
| org.jenkins-ci.main:jenkins-coreMaven | 2.50 ≤ v < 2.57, v < 2.46.2 | 2.57, 2.46.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.