Whole-script approval in Jenkins Script Security Plugin vulnerable to SHA-1 collisions
Script Security Plugin 1189.vb_a_b_7c8fd5fde and earlier stores whole-script approvals as the SHA-1 hash of the approved script. SHA-1 no longer meets the security standards for producing a cryptographically secure message digest.
Script Security Plugin 1190.v65867a_a_47126 uses SHA-512 for new whole-script approvals. Previously approved scripts will have their SHA-1 based whole-script approval replaced with a corresponding SHA-512 whole-script approval when the script is next used.
Whole-script approval only stores the SHA-1 or SHA-512 hash, so it is not possible to migrate all previously approved scripts automatically on startup.
Administrators concerned about SHA-1 collision attacks on the whole-script approval feature are able to revoke all previous (SHA-1) script approvals on the In-Process Script Approval page.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | org.jenkins-ci.plugins:script-security | < 1190.v65867a_a_47126 | 1190.v65867a_a_47126 |
Verweise
- https://nvd.nist.gov/vuln/detail/CVE-2022-45379
- https://github.com/jenkinsci/script-security-plugin/commit/65867aa471265a16198b92fb439782ba3554da66
- https://github.com/jenkinsci/script-security-plugin
- https://www.jenkins.io/security/advisory/2022-11-15/#SECURITY-2564
- http://www.openwall.com/lists/oss-security/2022/11/15/4
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H- Schwäche (CWE)
CWE-326, CWE-328- Plattform
- Java / Kotlin (Maven)
- Paket
org.jenkins-ci.plugins:script-security- Veröffentlicht
- 16.11.2022
- Aktualisiert
- 11.10.2026 11:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-fv42-mx39-6fpw - CC BY 4.0
Schwachstellenhistorie: org.jenkins-ci.plugins:script-security
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 37
- Erste → letzte
- 05.2022 06.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 1
Verteilung nach Schweregrad
- Kritisch 5
- Hoch 22
- Mittel 10
Veröffentlichungen pro Jahr
- 2022: 30
- 2023: 1
- 2024: 3
- 2025: 0
- 2026: 3
-
Whole-script approval in Jenkins Script Security Plugin vulnerable to SHA-1 collisions dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.