最近の脆弱性 › CVE-2015-5317
Jenkins Jenkins User Interface (UI) の情報漏えいの脆弱性（CVE-2015-5317）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2015-5317 |
|---|---|
| 製品 | Jenkins Jenkins User Interface (UI) |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2023-05-12 |
| 米国政府機関の対応期限 | 2023-06-02 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-200 |
何が起きた
Jenkins（ソフト開発の自動化に使う道具）の Fingerprints（ファイルの指紋）のページで、本来は見る権限のないジョブやビルドの名前が見えてしまう弱点が見つかりました。Jenkins によると、見られるジョブと同じファイルの指紋を共有している場合に起きます。実際の悪用も確認されています。攻撃はネットワーク経由で、ログイン不要、利用者の操作も不要です。
誰が影響を受ける
Jenkins を使っている組織が対象です。Jenkins によると、1.637 までのすべての通常版と、1.625.1 までのすべての LTS（長期サポート版）が影響を受けます。
何をすればいい
通常版を使っている場合は 1.638 以降、LTS を使っている場合は 1.625.2 以降に更新されているか確認してください。これらの版には、同じ時期に公表された他の弱点の修正も含まれています。あわせて Jenkins の公式の案内を確認してください。
やることチェックリスト
- 通常版の Jenkins を 1.638 以降に更新する
- LTS の Jenkins を 1.625.2 以降に更新する
- Jenkins の版が通常版か LTS か確認する
用語メモ
- Jenkins
- プログラムのビルドやテストなどを自動で行うための道具です。
- LTS
- 長期サポート版のことで、長い期間修正が出され続ける安定した版です。
- ジョブ
- Jenkins に登録した、ビルドやテストなどのひとまとまりの作業です。
元データ（英語・CISA KEV より）
Jenkins User Interface (UI) Information Disclosure Vulnerability
概要
Jenkins User Interface (UI) contains an information disclosure vulnerability that allows users to see the names of jobs and builds otherwise inaccessible to them on the "Fingerprints" pages.
推奨対応
Apply updates per vendor instructions.