- Aktif istismar
- CWE-502
CVE-2017-1000353
Jenkins CLI'da kimlik doğrulamasız serileştirme kaynaklı uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3193 gün
- Kaydı açan
- mitre
Yönetici özeti
Güncellenmemiş Jenkins sunucuları, internet veya iç ağ üzerinden herhangi biri tarafından şifresiz ve hesapsız şekilde ele geçirilebilir. Açık aktif olarak istismar edildiği için acilen güncelleme yapılmalıdır. Güncelleme mümkün değilse sunucuya erişim kısıtlanmalı veya sistem kapatılmalıdır.
ÖzetTürkçe
Jenkins 2.56 ve öncesi ile 2.46.1 LTS ve öncesi sürümlerde, Jenkins CLI'a gönderilen serileştirilmiş bir Java nesnesi yeni bir ile seri durumdan çıkarılıyor ve mevcut kara liste tabanlı koruma atlatılıyor. Kimlik doğrulaması gerektirmeyen bu açık (CWE-502) ağ üzerinden istismar edilebiliyor. Etkilenen sürümleri çalıştıran tüm Jenkins sunucuları risk altındadır. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan Jenkins sunucusunda uzaktan kod çalıştırabilir ve sunucuyu, yapı süreçlerini ve içindeki gizli bilgileri tamamen ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java SignedObject object to the Jenkins CLI, that would be deserialized using a new ObjectInputStream, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding SignedObject to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Yeni HTTP CLI protokolünü kullanın; Java serileştirmeye dayalı remoting tabanlı CLI protokolü kullanımdan kaldırılmıştır ve düzeltilmiş sürümlerde varsayılan olarak devre dışıdır. Bu protokolü elle etkinleştirmediğinizden emin olun. Genel öneri
- Satıcı talimatlarına göre azaltım önlemlerini uygulayın; bu önlemler mümkün değilse ürünün kullanımını durdurun. CISA
- Güncelleme hemen yapılamıyorsa Jenkins sunucusuna ağ erişimini güvenilir adreslerle sınırlayın ve internetten erişimi kapatın. Genel öneri
Ek önlemler
- Jenkins sunucusunu doğrudan internete açmayın; bir ters vekil sunucu, VPN veya güvenlik duvarı arkasında çalıştırın. Genel öneri
- Jenkins ve eklentilerini düzenli olarak güncelleyin, güvenlik duyurularını takip edin. Genel öneri
- Sunucuda tanımlı kimlik bilgilerini ve gizli anahtarları gözden geçirin; olası ele geçirilme şüphesinde bunları yenileyin ve olağan dışı süreç ya da CLI isteklerine karşı günlükleri inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Jenkins | Sürüm belirtilmemiş | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- exploit-db.com/exploits/41965 İstismar kodu ya da analiz
- securityfocus.com/bid/98056 Diğer
- oracle.com/security-alerts/cpuapr2022.html Diğer
- jenkins.io/security/advisory/2017-04-26 Diğer
- packetstormsecurity.com/…s-2.56-CLI-Deserialization-Code-Execution.html Diğer
- jenkins.io/security/advisory/2017-04-26 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.