CSRF và Open Redirect: Jenkins vá các lỗ hổng lớn

[WhiteHat Team]

Jenkins, nền tảng tự động hóa mã nguồn mở phổ biến, đã phát hành bản vá giải quyết các lỗ hổng ảnh hưởng đến Jenkins 2.499 trở về trước, LTS 2.492.1 trở về trước và lỗ hổng Cross-Site Request Forgery (CSRF).

• CVE-2025-27622: Một trong những lỗ hổng đáng lo ngại nhất, cho phép kẻ tấn công có quyền "Agent/Extended Read" truy cập giá trị bí mật đã mã hóa. Nguyên nhân là do Jenkins không che giấu thông tin bí mật đã mã hóa khi truy cập cấu hình agent thông qua REST API hoặc CLI.
• CVE-2025-27623: Ảnh hưởng đến cấu hình giao diện xem (View configurations), cho phép kẻ tấn công có quyền "View/Read" truy cập giá trị bí mật đã mã hóa.
• CVE-2025-27624: Lỗ hổng CSRF tại các phiên bản Jenkins trước 2.500 và LTS 2.492.2. Lỗ hổng này cho phép kẻ tấn công ép buộc người dùng thay đổi trạng thái mở rộng/thu gọn của các tiện ích bảng điều khiển (sidepanel widgets), thậm chí có thể lưu trữ nội dung do kẻ tấn công kiểm soát vào hồ sơ người dùng của nạn nhân. Jenkins đã phát hành bản cập nhật vá lỗi trong các phiên bản 2.500 và LTS 2.492.2. Người dùng được khuyến nghị nâng cấp ngay lập tức để giảm thiểu rủi ro bảo mật.
• CVE-2025-27625: Lỗ hổng chuyển hướng mở (Open redirect), có thể bị kẻ tấn công lợi dụng để thực hiện các cuộc tấn công lừa đảo (phishing attacks).

Người dùng và quản trị viên Jenkins được khuyến nghị xem xét toàn bộ khuyến cáo bảo mật và thực hiện các biện pháp cần thiết để bảo vệ hệ thống.

Theo Security Online​