Jenkins में लिंक फॉलोइंग भेद्यता अनुमति देती है मनमाने ढंग से फ़ाइल निर्माण

Jenkins में CVE-2026-33001 भेद्यता संस्करण 2.554 और पहले के संस्करणों और LTS संस्करण 2.541.2 और पहले के संस्करणों को प्रभावित करती है। यह .tar और .tar.gz अभिलेखागार के निष्कर्षण के दौरान प्रतीकात्मक लिंक को सुरक्षित रूप से संभालने में विफलता के कारण होता है। Item/Configure अनुमतियों वाले या एजेंट प्रक्रियाओं को नियंत्रित करने में सक्षम एक हमलावर, अभिलेखागार को हेरफेर करके फ़ाइल सिस्टम पर मनमाना स्थानों पर फ़ाइलें लिख सकता है, जो केवल Jenkins को चलाने वाले उपयोगकर्ता के फ़ाइल सिस्टम एक्सेस अनुमतियों द्वारा सीमित है। यह हमलावरों को नियंत्रक पर दुर्भावनापूर्ण स्क्रिप्ट या प्लगइन्स तैनात करने की अनुमति दे सकता है, जिससे संपूर्ण CI/CD पाइपलाइन से समझौता हो सकता है।

Organizations heavily reliant on Jenkins for continuous integration and delivery are particularly at risk. Environments with lax file system permissions for the Jenkins user, or those utilizing Jenkins agents with broad access privileges, face a heightened threat. Shared hosting environments where multiple users have access to the Jenkins instance are also vulnerable.

• linux / server:

find /var/lib/jenkins/.jenkins/war/WEB-INF/lib -name '*.jar' -print0 | xargs -0 grep -i 'org.jenkins-ci.main:jenkins-core'

• java / supply-chain: Examine Jenkins plugin dependencies for versions prior to 2.555. Check for unusual file creation patterns in Jenkins logs. • generic web: Monitor Jenkins access logs for unusual file upload activity, particularly involving .tar and .tar.gz archives.

1. 2026-03-18Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-18
3. संशोधित2026-04-15
4. EPSS अद्यतन2026-03-26

सुधार Jenkins को संस्करण 2.555 या बाद के संस्करण में अपग्रेड करना है। यह अपडेट निष्कर्षण प्रक्रिया के दौरान प्रतीकात्मक लिंक के सत्यापन को सख्त करके भेद्यता को ठीक करता है। इसके अतिरिक्त, Jenkins द्वारा फ़ाइलों को लिखे जाने वाले निर्देशिकाओं के लिए फ़ाइल सिस्टम एक्सेस अनुमतियों की समीक्षा करना महत्वपूर्ण है, यह सुनिश्चित करना कि केवल अधिकृत उपयोगकर्ताओं को ही पहुंच प्राप्त है। Jenkins के भीतर उपयोगकर्ता अनुमतियों को सीमित करना और एजेंट एक्सेस को प्रतिबंधित करना भी जोखिम को कम करने में मदद कर सकता है। एक सर्वोत्तम अभ्यास के रूप में, संदिग्ध गतिविधि के लिए Jenkins लॉग की नियमित रूप से निगरानी करना भी महत्वपूर्ण है।