Jenkins - CVE-2026-33001
Date de publication :
Il s’agit d’une vulnérabilité dans l’extraction des archives .tar et .tar.gz par Jenkins.
Jenkins est un serveur d’automatisation open source utilisé pour l’intégration continue et le déploiement continu. Il exécute des jobs, des pipelines et des tâches d’archivage d’artefacts sur un contrôleur et des agents.
Le produit ne valide pas correctement les liens symboliques et peut écrire des fichiers en dehors du répertoire cible lors de l’extraction. Un attaquant disposant des droits Item/Configure ou contrôlant un agent peut exploiter cette écriture arbitraire pour déposer des fichiers sur le contrôleur.
Elle permet une atteinte à l’intégrité du système et peut conduire à une exécution de code arbitraire.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-61 : UNIX Symbolic Link (Symlink) Following
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Jenkins weekly versions 2.554 et antérieures,
• Jenkins LTS versions 2.541.2 et antérieures.
Solutions ou recommandations
• Jenkins LTS versions 2.541.3 et supérieures.