CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2017-1000353

CVSS 9.8v3.1pub. 2018-01-29upd. 2025-11-05

Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java `SignedObject` object to the Jenkins CLI, that would be deserialized using a new `ObjectInputStream`, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding `SignedObject` to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.

oryginał EN

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Jenkins
APP
Jenkins
≤ 2.56≤ 2.46.1
Oracle Communications Cloud Native Core Automated Test Suite
APP
Oracle
1.9.0

CISA KEV — szczegółyi

Dostawcai: Jenkins
Produkti: Jenkins
Data dodania do KEVi: 2 października 2025
Termin remediation (USA)i: 23 października 2025(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami dostawcy, postępuj zgodnie z odpowiednimi wytycznymi BOD 22-01 dla usług chmurowych lub przerwij korzystanie z produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Jenkins zawiera podatność zdalnego wykonania kodu. Ta podatność mogłaby pozwolić atakującym na przesłanie serializowanego obiektu Java SignedObject do opartego na remoting'u Jenkins CLI, który byłby deserializowany przy użyciu nowego ObjectInputStream, omijając istniejący mechanizm ochrony oparty na blocklist'cie.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Jenkins contains a remote code execution vulnerability. This vulnerability that could allowed attackers to transfer a serialized Java SignedObject object to the remoting-based Jenkins CLI, that would be deserialized using a new ObjectInputStream, bypassing the existing blocklist-based protection mechanism.

🔴