- Aktif istismar
- CWE-502
CVE-2018-1000861
Jenkins Stapler çerçevesinde güvensiz veri seri durumdan çıkarma ile kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2879 gün
- Kaydı açan
- mitre
Yönetici özeti
Güncellenmemiş Jenkins sunucuları internet üzerinden, herhangi bir hesap gerekmeden ele geçirilebilir. Zafiyetin aktif olarak istismar edildiği bilindiği için acil olarak yama uygulanması gerekir. Yapı ve dağıtım altyapısının ele geçirilmesi, yazılım kaynak kodunun ve gizli anahtarların çalınmasına yol açabilir.
ÖzetTürkçe
Jenkins tarafından kullanılan Stapler web çerçevesinin MetaClass.java dosyasında bir uzaktan kod çalıştırma zafiyeti bulunuyor. Saldırganlar özel hazırlanmış URL'lere erişerek Java nesneleri üzerinde, bu şekilde çağrılması amaçlanmayan bazı metotları çalıştırabiliyor. Jenkins 2.153 ve öncesi ile LTS 2.138.3 ve öncesi sürümler etkileniyor. Zafiyet CWE-502 kapsamında sınıflandırılmış ve CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Kimlik doğrulaması gerekmeden ağ üzerinden istismar edilebilir; saldırgan sunucuda kod çalıştırarak sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini tamamen tehlikeye atabilir.
Kaynaktaki açıklama (İngilizce)
A code execution vulnerability exists in the Stapler web framework used by Jenkins 2.153 and earlier, LTS 2.138.3 and earlier in stapler/core/src/main/java/org/kohsuke/stapler/MetaClass.java that allows attackers to invoke some methods on Java objects by accessing crafted URLs that were not intended to be invoked this way.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Jenkins'i, bu zafiyetin giderildiği güncel bir sürüme (2.153'ten sonraki sürümlere veya LTS 2.138.3'ten sonraki LTS sürümlerine) yükseltin; satıcının güvenlik duyurusundaki yönergeleri izleyin. Genel öneri
- CISA'nın gerekli eylemi doğrultusunda güncellemeleri satıcı talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa Jenkins arayüzüne erişimi güvenilir ağlarla veya VPN ile sınırlandırın ve internete doğrudan açık bırakmayın. Genel öneri
Ek önlemler
- Jenkins sunucusunun internetten doğrudan erişilebilir olup olmadığını kontrol edin; gerekiyorsa ters vekil sunucu ve erişim kısıtlaması arkasına alın. Genel öneri
- Jenkins'te saklanan kimlik bilgilerini ve erişim anahtarlarını, olası ele geçirilme şüphesine karşı gözden geçirip yenileyin. Genel öneri
- Sunucu ve erişim günlüklerinde olağan dışı URL isteklerini ve beklenmeyen süreç oluşumunu izleyin. Genel öneri
- Jenkins ve eklentileri için düzenli yama yönetimi süreci uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Jenkins Stapler Web Framework | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.