CVE-2017-1000353criticalbajo ataqueCWE-502

CVE-2017-1000353

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Jenkins+ Monitorear org.jenkins-ci.main:jenkins-core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%
de la publicación al armael mismo día
Publicada en NVD29 ene
1ª PoC5 may
metasploit26 abr
CISA KEV+2803d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto
Red Hat OpenShift Enterprise 2
no_fix_planned: Will not fix
No afectado
1 producto (2 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift Enterprise 3
Acción exigida por CISAplazo federal: 2025-10-23

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Versiones de Jenkins anteriores a 2.57 y 2.46.2 LTS permitían que atacantes ejecutaran código arbitrario sin autenticación enviando objetos Java serializados especiales a través de la CLI. Esto es crítico porque Jenkins generalmente tiene acceso a credenciales sensibles y recursos del sistema.

Detalle técnico

Una vulnerabilidad de ejecución remota de código no autenticada en la CLI de Jenkins explota deserialización insegura de Java mediante ObjectInputStream. Los atacantes evitan la protección basada en lista negra enviando un payload SignedObject, logrando ejecución de código arbitrario con privilegios del proceso Jenkins. La corrección agrega SignedObject a la lista negra de deserialización y depreca el protocolo CLI basado en remoting.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java `SignedObject` object to the Jenkins CLI, that would be deserialized using a new `ObjectInputStream`, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding `SignedObject` to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.