跳到主要内容

中危

CloudBees Jenkins CI和LTS信息泄露漏洞

2015-11-25 20:00:00 公开 ，2026-02-18 19:35:32 更新

  • 关键漏洞
  • CISA KEV
  • 远程
  • CWE Top 25 (2024)
  • 公开PoC
  • 无需认证
  • 开源组件漏洞
CWEs：
CWE-200 （Exposure of Sensitive Information to an Unauthorized Actor）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：部分 2025-02-07 21:39:09

风险信息

CVSS v2 向量
AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS v2 风险值
5
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS v3.1 风险值
—

详细信息

漏洞类型
信息泄露
漏洞描述
CloudBees Jenkins是美国CloudBees公司的一款基于Java开发的开源的、可持续集成的自动化服务器，它主要用于监控持续的软件版本发布/测试项目和一些定时执行的任务。LTS（Long-Term Support）是CloudBees Jenkins的一个长期支持版本。CloudBees Jenkins CI 1.638之前版本和LTS 1.625.2之前版本的Fingerprints页面存在安全漏洞。远程攻击者可通过发送直接的请求利用该漏洞获取敏感的job和build的名称信息。
修复建议
Jenkins main line用户应更新至1.638，Jenkins LTS用户应更新至1.625.2，补丁获取链接： https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2015-11-11

参考链接