Jenkins - CVE-2026-33001

Date de publication :

Il s’agit d’une vulnérabilité dans l’extraction des archives .tar et .tar.gz par Jenkins.

Jenkins est un serveur d’automatisation open source utilisé pour l’intégration continue et le déploiement continu. Il exécute des jobs, des pipelines et des tâches d’archivage d’artefacts sur un contrôleur et des agents.

Le produit ne valide pas correctement les liens symboliques et peut écrire des fichiers en dehors du répertoire cible lors de l’extraction. Un attaquant disposant des droits Item/Configure ou contrôlant un agent peut exploiter cette écriture arbitraire pour déposer des fichiers sur le contrôleur.

Elle permet une atteinte à l’intégrité du système et peut conduire à une exécution de code arbitraire.

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Exécution de code arbitraire (à distance)

Exploitation

La vulnérabilité exploitée est du type
CWE-61 : UNIX Symbolic Link (Symlink) Following

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

•   Jenkins weekly versions 2.554 et antérieures,
•   Jenkins LTS versions 2.541.2 et antérieures.

Solutions ou recommandations

•   Jenkins weekly versions 2.555 et supérieures,
•   Jenkins LTS versions 2.541.3 et supérieures.