CVE-2026-33001
Açıklama
Jenkins 2.554 ve öncesi ile LTS 2.541.2 ve öncesi sürümler, .tar ve .tar.gz arşivlerinin çıkarılması sırasında sembolik bağlantıları güvenli bir şekilde işlemez; bu durum, özel olarak hazırlanmış arşivlerin, yalnızca Jenkins'i çalıştıran kullanıcının dosya sistemi erişim izinleriyle sınırlandırılmış şekilde, dosya sisteminde rastgele konumlara dosya yazmasına olanak tanır. Bu durum, Item/Configure iznine sahip saldırganlar veya agent süreçlerini kontrol edebilen kişiler tarafından, controller üzerinde kötü amaçlı betikler veya eklentiler dağıtmak için istismar edilebilir.
Nasıl düzeltilir
- jenkins jenkins2.541.3, 2.555 ya da sonraki bir sürüm
- org.jenkins-ci.main:jenkins-core2.555 ya da sonraki bir sürüm
- jenkins.io/security/advisory/2026-03-18/#SECURITY-3657
- access.redhat.com/errata/RHSA-2026:10209
- access.redhat.com/errata/RHSA-2026:10201
- access.redhat.com/errata/RHSA-2026:10211
- access.redhat.com/errata/RHSA-2026:10204
- access.redhat.com/errata/RHSA-2026:10214
- access.redhat.com/errata/RHSA-2026:10213
- access.redhat.com/errata/RHSA-2026:10215
- access.redhat.com/errata/RHSA-2026:10206
- access.redhat.com/errata/RHSA-2026:10205
- access.redhat.com/errata/RHSA-2026:10199
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jenkins jenkins | v < 2.541.3, v < 2.555 | 2.541.3, 2.555 |
| org.jenkins-ci.main:jenkins-coreMaven | v < 2.555 | 2.555 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.