• ひとことでJenkins の画面で、見られないはずのジョブ名が見えてしまう弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやること通常版の Jenkins を 1.638 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2015-5317
製品Jenkins Jenkins User Interface (UI)
深刻度（CVSS）7.5 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2023-05-12
米国政府機関の対応期限2023-06-02
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-200（権限のない人への機密情報の露出）

何が起きた

Jenkins（ソフト開発の自動化に使う道具）の Fingerprints（ファイルの指紋）のページで、本来は見る権限のないジョブやビルドの名前が見えてしまう弱点が見つかりました。Jenkins によると、見られるジョブと同じファイルの指紋を共有している場合に起きます。実際の悪用も確認されています。攻撃はネットワーク経由で、ログイン不要、利用者の操作も不要です。

誰が影響を受ける

Jenkins を使っている組織が対象です。Jenkins によると、1.637 までのすべての通常版と、1.625.1 までのすべての LTS（長期サポート版）が影響を受けます。

何をすればいい

通常版を使っている場合は 1.638 以降、LTS を使っている場合は 1.625.2 以降に更新されているか確認してください。これらの版には、同じ時期に公表された他の弱点の修正も含まれています。あわせて Jenkins の公式の案内を確認してください。

やることチェックリスト

  • 通常版の Jenkins を 1.638 以降に更新する
  • LTS の Jenkins を 1.625.2 以降に更新する
  • Jenkins の版が通常版か LTS か確認する

用語メモ

Jenkins
プログラムのビルドやテストなどを自動で行うための道具です。
LTS 用語集で見る
長期サポート版のことで、長い期間修正が出され続ける安定した版です。
ジョブ
Jenkins に登録した、ビルドやテストなどのひとまとまりの作業です。

次に読む

同じ製品・メーカーの脆弱性Jenkins（CVE-2017-1000353）9.8 緊急CVSS v3.1Jenkins の CLI で、ログインなしに任意のプログラムを動かされる弱点です。同じ製品・メーカーの脆弱性Jenkins Command Line Interface (CLI)（CVE-2024-23897）9.8 緊急CVSS v3.1Jenkins のコマンド操作の機能で、サーバーのファイルを読まれる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Jenkins User Interface (UI) Information Disclosure Vulnerability

概要

Jenkins User Interface (UI) contains an information disclosure vulnerability that allows users to see the names of jobs and builds otherwise inaccessible to them on the "Fingerprints" pages.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る