Impatto Sistemico

Alto (65.12)

Sintesi

Jenkins Project ha rilasciato aggiornamenti di sicurezza per Jenkins, server open source per l’automazione delle attività di compilazione, verifica e distribuzione del software, che sanano molteplici vulnerabilità, di cui 13 con gravità “alta”. Le vulnerabilità potrebbero consentire a un attaccante di eseguire codice arbitrario remoto, leggere o scrivere file, eludere misure di sicurezza, alterare dati e configurazioni, acquisire privilegi amministrativi e accedere a informazioni riservate, anche dopo la revoca delle credenziali.

Tipologia

• Arbitrary File Write/Read
• Remote Code Execution
• Authentication Bypass
• Privilege Escalation
• Security Feature Bypass
• Tampering

Prodotti e/o versioni affette

Jenkins weekly, versione 2.587 e precedenti

Jenkins LTS, versione 2.580.1 e precedenti

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del relativo bollettino di sicurezza riportato nella sezione Riferimenti.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “alta”: