Exécution de code à distance affectant Jenkins
Une vulnérabilité affectant Jenkins permettrait à un acteur malveillant d'exécuter du code à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Jenkins est un outil open source d'intégration continue (CI) et de déploiement continu (CD). Il sert à automatiser les tâches répétitives liées au développement logiciel, notamment la compilation, les tests et le déploiement des applications. Ce produit est affecté par une vulnérabilité libellée CVE-2026-84645, résultant de la possibilité d'intégrer certains objets de configuration, normalement stockés dans des fichiers de configuration distincts, sous forme de valeurs de champs imbriqués dans les fichiers config.xml soumis par les utilisateurs. Son exploitation permettrait à un acteur malveillant de soumettre des requêtes HTTP malveillantes via Stapler et d'exécuter du code à distance sur le système affecté. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données.
Systèmes affectés
Produits, composants et versions concernés
- Jenkins version 2.579 et antérieures ;
- Jenkins LTS version 2.568.2 et antérieures.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Jenkins vers la version 2.580 ou supérieure pour la branche stable ;
- Mettre à jour Jenkins vers la version 2.568.3 ou supérieure pour la branche LTS.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.