PT-2025-9859
CVE-2025-27622
·
تاريخ النشر
2025-03-05
·
تاريخ التحديث
2025-06-24
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Jenkins 2.499 والإصدارات الأقدم منها
إصدارات Jenkins LTS 2.492.1 والإصدارات الأقدم منها
الوصف
تسمح هذه الثغرة للمهاجمين الذين يمتلكون إذن «Agent/Extended Read» (القراءة الموسعة للوكيل) بعرض القيم المشفرة للأسرار عند الوصول إلى ملف
config.xml الخاص بالوكلاء عبر واجهة برمجة التطبيقات REST أو واجهة سطر الأوامر (CLI). ويرجع ذلك إلى أن Jenkins لا يحجب القيم المشفرة للأسرار في هذه الحالات. قد يتمكن المهاجمون من تخزين محتوى يخضع لسيطرتهم في ملفات تعريف المستخدمين الآخرين.التوصيات
بالنسبة لإصدارات Jenkins 2.499 والإصدارات الأقدم، قم بالتحديث إلى الإصدار 2.500 أو أحدث لضمان حجب القيم المشفرة للأسرار عند الوصول إلى ملف
config.xml الخاص بالوكلاء عبر واجهة برمجة التطبيقات REST أو واجهة سطر الأوامر (CLI).بالنسبة لإصدارات Jenkins LTS 2.492.1 والإصدارات الأقدم، قم بالتحديث إلى الإصدار 2.492.2 أو أحدث لضمان حجب القيم المشفرة للأسرار عند الوصول إلى ملف
config.xml الخاص بالوكلاء عبر واجهة برمجة التطبيقات REST أو واجهة سطر الأوامر (CLI).كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى واجهة برمجة التطبيقات REST وواجهة سطر الأوامر (CLI) للمستخدمين الذين يتمتعون بإذن «Agent/Extended Read» لتقليل مخاطر الاستغلال إلى أدنى حد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾