Injection de commande OS dans Jenkins (CVE-2025-64140)
Résumé
Injection de commande OS dans Jenkins (CVE-2025-64140). L'exploitation peut entraîner la prise de contrôle totale du système.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Jenkins Azure CLI Plugin 0.9 and earlier does not restrict which commands it executes on the Jenkins controller, allowing attackers with Item/Configure permission to execute arbitrary shell commands.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2025-64140 a été découverte dans Jenkins.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « Jenkins CVE-2025-64140 » sur le site de l'éditeur.
CVE-2025-64140 (Jenkins) — CWE-78 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Jenkins Azure CLI Pluginにおける任意のシェルコマンドの実行脆弱性
Jenkins Azure CLI Plugin バージョン0.9およびそれ以前
攻撃者は任意のシェルコマンドを実行可能で、システムに重大な影響を与える可能性があるため深刻です。
この問題を修正するには、Jenkins Azure CLI Pluginの最新バージョンにアップデートしてください。
情報なし
JenkinsのAzure CLI Pluginのバージョンを確認し、0.9以下の場合、影響を受けます。
Références
- advisory openwall.com
- patch jenkinsci-cert@googlegroups.com