← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Jenkins activement exploitées (KEV)

Les 6 vulnérabilités Jenkins dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 1 utilisée par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2017-1000353 — Jenkins : vulnérabilité d'exécution de code à distance Critique

  • Produit : Jenkins Jenkins
  • Ajoutée au catalogue : 2 octobre 2025
  • Échéance CISA : 23 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %
  • Technologie : Jenkins

Jenkins contient une vulnérabilité d'exécution de code à distance. Cette vulnérabilité pourrait permettre à des attaquants de transférer un objet Java SignedObject sérialisé au CLI de Jenkins basé sur le remoting, qui serait désérialisé à l'aide d'un nouveau ObjectInputStream, contournant le mécanisme de protection existant basé sur une liste noire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · jenkins.io

Fiche détaillée : versions, références, chronologie →

CVE-2024-23897 — Jenkins CLI : vulnérabilité de traversée de répertoires Critique

  • Produit : Jenkins Jenkins Command Line Interface (CLI)
  • Ajoutée au catalogue : 19 août 2024
  • Échéance CISA : 9 septembre 2024
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-27
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Jenkins

Jenkins Command Line Interface (CLI) contient une vulnérabilité de traversée de répertoires qui permet aux attaquants un accès en lecture limité à certains fichiers, ce qui peut conduire à une exécution de code.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · jenkins.io

Fiche détaillée : versions, références, chronologie →

CVE-2015-5317 — Jenkins, interface utilisateur : divulgation d'informations

  • Produit : Jenkins Jenkins User Interface (UI)
  • Ajoutée au catalogue : 12 mai 2023
  • Échéance CISA : 2 juin 2023
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-200
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 23 %
  • Technologie : Jenkins

L'interface utilisateur de jenkins contient une vulnérabilité de divulgation d'informations qui permet aux utilisateurs de voir les noms des jobs et des builds autrement inaccessibles pour eux sur les pages "fingerprints".

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · jenkins.io

CVE-2019-1003029 — Jenkins Script Security Plugin : contournement du bac à sable

  • Produit : Jenkins Script Security Plugin
  • Ajoutée au catalogue : 25 avril 2022
  • Échéance CISA : 16 mai 2022
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 9,9 (critique)
  • Probabilité d’exploitation (EPSS) : 74 %
  • Technologie : Jenkins

Le Jenkins Script Security Plugin contient une défaillance du mécanisme de protection, permettant à un attaquant de contourner le bac à sable.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-1003030 — Jenkins Matrix Project Plugin : exécution de code à distance

  • Produit : Jenkins Matrix Project Plugin
  • Ajoutée au catalogue : 25 mars 2022
  • Échéance CISA : 15 avril 2022
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 9,9 (critique)
  • Probabilité d’exploitation (EPSS) : 97 %
  • Technologie : Jenkins

Le plugin Matrix Project de Jenkins contient une vulnérabilité qui peut permettre aux utilisateurs de sortir du bac à sable, ouvrant une opportunité d'exécuter du code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2018-1000861 — Jenkins Stapler Web Framework : désérialisation de données non fiables

  • Produit : Jenkins Jenkins Stapler Web Framework
  • Ajoutée au catalogue : 10 février 2022
  • Échéance CISA : 10 août 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 98 %
  • Technologie : Jenkins

Une vulnérabilité d'exécution de code existe dans le framework web Stapler utilisé par Jenkins

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)