Alvorlige sårbarheder i Jenkins

Eskil Sørensen
12.11.2025 15:39
Risiko for DoS

Jenkins er ramt af to kritiske sårbarheder, der kan udnyttes til både Denial of Service (DoS) og opbevaret cross-site scripting (XSS). Sårbarhederne er registreret som EUVD-2025-202455 / CVE-2025-67641 og EUVD-2025-202453 CVE-2025-67635. CVSS-scoren er hhv. 8,0 og 7,5. I begge tilfælde er EPSS-scoren 0 pct.
De berørte systemer systemer er følgende: 

  • Jenkins Coverage Plugin - 0 ≤2.3054.ve1ff7b_a_a_123b_
  • Jenkins - patch: 2.528.3
  • Jenkins - patch: 2.541

EUVD-2025-202455  (Coverage Plugin)
Coverage Plugin validerer ikke korrekt coverage result IDs, når job konfigureres via REST API. En aktør med Item/Configure-tilladelse kan indsætte en javascript:-URL som identifikator, hvilket fører til opbevaret XSS i Jenkins UI.

EUVD-2025-202453 (Jenkins Core)
Jenkins lukker ikke korrekt HTTP-baserede CLI-forbindelser, når forbindelsesstrømmen beskadiges. Dette kan udnyttes til at skabe en DoS-tilstand, hvor tråde hænger uendeligt.

 

Det anbefales, at der opdateres til de nyeste patch-versioner, jvf. producentens vejledning.

Læs mere

Sårbarhed