Início / CVEs
Vulnerabilidades exploradas (CISA KEV)
CVEs com exploração confirmada pela CISA (Known Exploited Vulnerabilities), com ação exigida e prazos.
CVE-2024-23897
Crítica · 9.8
KEV Urgente · 93 Exploit público Ransomware CWE-22 24/01/2024
Jenkins Command Line Interface (CLI) Path Traversal Vulnerability
Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.
CVE-2023-44487
Alta · 7.5
KEV Urgente · 73 Exploit público CWE-400 10/10/2023
HTTP/2 Rapid Reset: negação de serviço no protocolo
O protocolo HTTP/2 permite uma negação de serviço (consumo de recursos do servidor) porque o cancelamento de requisições pode reiniciar muitos streams rapidamente, conforme explorado na natureza entre agosto e outubro de 2023.
CVE-2019-1003030
Crítica · 9.9
KEV Urgente · 78 Exploit público CWE-693 08/03/2019
Jenkins Matrix Project Plugin Remote Code Execution Vulnerability
A sandbox bypass vulnerability exists in Jenkins Pipeline: Groovy Plugin 2.63 and earlier in pom.xml, src/main/java/org/jenkinsci/plugins/workflow/cps/CpsGroovyShell.java that allows attackers able to control pipeline scripts to execute arbitrary code on the Jenkins master JVM.
CVE-2019-1003029
Crítica · 9.9
KEV Urgente · 72 Exploit público 08/03/2019
Bypass de Sandbox no Plugin Jenkins Script Security Permite Execução de Código
Existe uma vulnerabilidade de bypass de sandbox no Jenkins Script Security Plugin 1.53 e anteriores, nos arquivos src/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/GroovySandbox.java e src/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/SecureGroovyScript.java, que permite que atacantes com permissão Overall/Read executem código arbitrário na JVM do master do Jenkins.
CVE-2018-1000861
Crítica · 9.8
KEV Urgente · 83 Exploit público CWE-502 10/12/2018
Desserialização de dados não confiáveis no Stapler Web Framework do Jenkins
Existe uma vulnerabilidade de execução de código no framework web Stapler usado pelo Jenkins 2.153 e anteriores, e pelo LTS 2.138.3 e anteriores, em stapler/core/src/main/java/org/kohsuke/stapler/MetaClass.java, que permite a atacantes invocar alguns métodos em objetos Java ao acessar URLs criadas de forma específica que não deveriam ser invocadas dessa maneira.
CVE-2017-1000353
Crítica · 9.8
KEV Urgente · 83 Exploit público CWE-502 29/01/2018
Jenkins Remote Code Execution Vulnerability
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java `SignedObject` object to the Jenkins CLI, that would be deserialized using a new `ObjectInputStream`, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding `SignedObject` to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.
CVE-2015-5317
Alta · 7.5
KEV Alta · 59 CWE-200 25/11/2015
Divulgação de Informações nas Páginas Fingerprints do Jenkins
As páginas Fingerprints no Jenkins anteriores à 1.638 e LTS anteriores à 1.625.2 podem permitir que atacantes remotos obtenham informações sensíveis sobre nomes de jobs e builds por meio de uma requisição direta.