CVE-2015-5317
Jenkins User Interface (UI) Information Disclosure Vulnerability
Beschreibung
CVE-2015-5317 ist eine Schwachstelle zur Offenlegung sensibler Informationen in Jenkins vor Version 1.638 und LTS vor Version 1.625.2. Die Schwachstelle befindet sich in den Fingerprints-Seiten der Jenkins-Benutzeroberflaeche und ermoeglicht es entfernten Angreifern, ueber direkte HTTP-Anfragen vertrauliche Job- und Build-Namensinformationen abzurufen. Diese Informationspreisgabe (CWE-200) kann als Ausgangspunkt fuer gezieltere Angriffe auf die Jenkins-Infrastruktur dienen.
Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.5 (HIGH) bewertet, wobei die Vertraulichkeit als einzige Impact-Metrik vollstaendig betroffen ist. Die CISA hat CVE-2015-5317 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestaetigt, mit einer Behebungsfrist bis zum 2. Juni 2023. Der bemerkenswert hohe EPSS-Score von 27.39 % (96. Perzentil) unterstreicht die erhebliche Ausnutzungswahrscheinlichkeit dieser Jenkins-Schwachstelle.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| jenkins | jenkins | <= 1.637; <= 1.625.1 |
| redhat | openshift | 2.0; <= 3.1 |
Referenzen
- http://rhn.redhat.com/errata/RHSA-2016-0489.html(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2016:0070(Third Party Advisory)
- https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2015-11-11(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-5317(US Government Resource)
Schwachstellentyp
CWE-200: Exposure of Sensitive Information to an Unauthorized Actor
CVE-2015-5317 basiert auf CWE-200, einer Schwachstellenklasse, bei der ein Produkt sensible Informationen an Akteure weitergibt, die nicht berechtigt sind, auf diese Informationen zuzugreifen. Im Fall von Jenkins exponieren die Fingerprints-Seiten vertrauliche Job- und Build-Namensinformationen fuer nicht authentifizierte Benutzer, die lediglich eine direkte HTTP-Anfrage an den entsprechenden Endpunkt senden muessen.
Mehr erfahren: CWE-200 -- Exposure of Sensitive Information to an Unauthorized Actor
Auswirkungsanalyse
Die Auswirkungen von CVE-2015-5317 betreffen primaer die Vertraulichkeit der Jenkins-Umgebung. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass die Schwachstelle aus der Ferne ueber das Netzwerk ausnutzbar ist, ohne dass physischer Zugang erforderlich waere. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert keine speziellen Bedingungen und kann mit einer einfachen HTTP-Anfrage durchgefuehrt werden. Keine Authentifizierung erforderlich: Ein Angreifer benoetigt keine Zugangsdaten, um auf die exponierten Fingerprints-Seiten zuzugreifen. Keine Benutzerinteraktion erforderlich: Der Angriff erfolgt vollstaendig automatisiert ohne Mitwirkung eines Benutzers. Vertraulichkeit (Hoch): Die offengelegten Job- und Build-Namen koennen sensible Informationen ueber die Softwareentwicklungsinfrastruktur preisgeben, einschliesslich interner Projektnamen, Deployment-Pipelines und Softwareversionen. Diese Informationen koennen als Aufklaerungsdaten fuer gezieltere Folge-Angriffe auf Jenkins-Instanzen oder nachgelagerte Systeme missbraucht werden. Der EPSS-Score von 27.39 % weist auf eine hohe Ausnutzungswahrscheinlichkeit hin, insbesondere da Jenkins-Instanzen haeufig mit dem Internet verbunden sind.
Exploit-Reifegrad
CVE-2015-5317 weist eine erhoehte Exploit-Reife auf, obwohl keine dedizierten Exploit-Eintraege in den Referenzen vorhanden sind. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, wobei der Ransomware-Status als Unknown klassifiziert ist. Der EPSS-Score von 27.39 % (96. Perzentil) platziert diese Schwachstelle unter den Top 4 % der am staerksten ausgenutzten Schwachstellen und weist auf eine erhebliche Ausnutzungsaktivitaet hin. Die niedrige Angriffskomplexitaet und die fehlende Authentifizierungsanforderung machen die Ausnutzung besonders einfach: Eine direkte HTTP-Anfrage an die Fingerprints-Endpunkte genuegt, um sensible Informationen abzurufen.
Behebung
-
Jenkins aktualisieren: Aktualisieren Sie Jenkins auf Version 1.638 oder hoeher bzw. LTS auf Version 1.625.2 oder hoeher, wie im offiziellen Jenkins Security Advisory 2015-11-11 beschrieben. Gemaess KEV-Katalog: Wenden Sie die Abhilfemassnahmen des Herstellers an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfuegbar sind.
-
Red Hat OpenShift-Umgebungen patchen: Falls Red Hat OpenShift mit integriertem Jenkins eingesetzt wird, installieren Sie die entsprechenden Red Hat Security Advisories (RHSA-2016:0070, RHSA-2016:0489).
-
Netzwerkzugriff auf Jenkins einschraenken: Stellen Sie sicher, dass Jenkins-Instanzen nicht direkt aus dem Internet erreichbar sind. Implementieren Sie eine Reverse-Proxy-Konfiguration mit Authentifizierung und IP-basierten Zugriffsbeschraenkungen, um den Zugang auf autorisierte Benutzer und Netzwerke zu limitieren.
-
Jenkins-Zugriffsprotokolle ueberpruefen: Analysieren Sie die Jenkins-Zugriffslogs auf verdaechtige Anfragen an Fingerprints-Endpunkte, insbesondere von unbekannten IP-Adressen oder automatisierten Scannern. Prueefen Sie, ob sensible Informationen bereits offengelegt wurden.
-
Autorisierungsstrategie haerten: Konfigurieren Sie die Jenkins-Autorisierungsstrategie (z.B. Matrix-based Security oder Role-Based Access Control) so, dass der anonyme Zugriff auf alle Projektinformationen unterbunden wird. Aktivieren Sie das Verhindern von Cross-Site Request Forgery und implementieren Sie eine restriktive Sicherheitsrichtlinie.
Technische Details
CVE-2015-5317 betrifft die Fingerprints-Funktionalitaet der Jenkins-Benutzeroberflaeche in Versionen vor 1.638 und LTS vor 1.625.2. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass die Schwachstelle ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) und ohne Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) ausnutzbar ist. Die Schwachstelle basiert auf CWE-200 (Exposure of Sensitive Information): Die Fingerprints-Seiten in Jenkins implementieren keine ausreichende Zugriffskontrolle, sodass ein nicht authentifizierter Benutzer durch direkte HTTP-GET-Anfragen an die entsprechenden URLs Job- und Build-Namensinformationen abrufen kann. Diese Informationspreisgabe betrifft ausschliesslich die Vertraulichkeit (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) nicht beeintraechtigt werden. Der Scope bleibt unveraendert (S:U), da die Schwachstelle auf die Jenkins-Anwendung beschraenkt ist. Die offengelegten Informationen koennen jedoch als Aufklaerungsdaten fuer gezieltere Angriffe auf die CI/CD-Infrastruktur genutzt werden, insbesondere wenn Jenkins-Instanzen oeffentlich zugaenglich sind.
Häufig gestellte Fragen
Wird CVE-2015-5317 aktiv ausgenutzt?
Ja, CVE-2015-5317 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestaetigt, mit einer Behebungsfrist bis zum 2. Juni 2023. Der EPSS-Score von 27.39 % (96. Perzentil) platziert die Schwachstelle unter den Top 4 % der am staerksten ausgenutzten Schwachstellen weltweit.
Welche Produkte sind von CVE-2015-5317 betroffen?
Betroffen sind Jenkins in allen Versionen vor 1.638 und Jenkins LTS in allen Versionen vor 1.625.2. Zusaetzlich ist Red Hat OpenShift betroffen, das Jenkins als integrierten CI/CD-Dienst verwendet. Die Schwachstelle ermoeglicht den unautorisierten Zugriff auf Job- und Build-Namensinformationen ueber die Fingerprints-Seiten.
Wie behebe ich CVE-2015-5317?
Aktualisieren Sie Jenkins auf Version 1.638 oder hoeher bzw. LTS auf Version 1.625.2 oder hoeher. Fuer Red Hat OpenShift installieren Sie die Sicherheitsupdates RHSA-2016:0070 und RHSA-2016:0489. Zusaetzlich sollten Sie den Netzwerkzugriff auf Jenkins einschraenken und die Autorisierungsstrategie haerten.
Wie schwerwiegend ist CVE-2015-5317?
CVE-2015-5317 ist mit einem CVSS-Score von 7.5 als HIGH eingestuft. Die Schwachstelle ermoeglicht die Offenlegung sensibler Informationen ohne jegliche Authentifizierung ueber das Netzwerk. Der EPSS-Score von 27.39 % (96. Perzentil) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin, und die offengelegten Informationen koennen als Grundlage fuer gezieltere Angriffe auf die Jenkins-Infrastruktur dienen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.