CVE-2015-5317highbajo ataqueCWE-200

CVE-2015-5317

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Jenkins User Interface+ Monitorear org.jenkins-ci.main:jenkins-core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

56Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 7.5epss 23%
de la publicación al arma
Publicada en NVD25 nov
CISA KEV+2725d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Corregido
4 productos (313 componentes)
Red Hat OpenShift Enterprise 3.1 · Red Hat OpenShift Enterprise Node 2.2 · Red Hat OpenShift Enterprise Infrastructure 2.2 · Red Hat OpenShift Enterprise Client 2.2
corrección ↗
Acción exigida por CISAplazo federal: 2023-06-02

Apply updates per vendor instructions.

En resumen

Jenkins permite que atacantes accedan a nombres sensibles de trabajos y compilaciones a través de las páginas de Fingerprints sin autenticación adecuada, exponiendo información que debería ser privada.

Detalle técnico

Controles de acceso inadecuados en el endpoint de Fingerprints de Jenkins anteriores a la versión 1.638 (LTS 1.625.2) permiten divulgación de información mediante solicitudes HTTP directas no autenticadas, exponiendo nombres de trabajos, identificadores de compilaciones y metadatos asociados a atacantes remotos.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The Fingerprints pages in Jenkins before 1.638 and LTS before 1.625.2 might allow remote attackers to obtain sensitive job and build name information via a direct request.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
n/a · n/a