PT-2025-44289 · Jenkins · Jenkins Azure Cli Plugin+1

Said Abdesslem Messadi · Publicado 2025-10-29 · Atualizado 2025-12-22 · CVE-2025-64140

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Jenkins Azure CLI versões 0.9 e anteriores

Descrição O plugin Jenkins Azure CLI não restringe os comandos que executa no controlador Jenkins. Isso permite que atacantes com a permissão Item/Configure executem comandos shell arbitrários. O problema decorre da falta de validação de comandos, permitindo que atores maliciosos executem comandos no nó mestre do Jenkins.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-64140

GHSA-RH72-238F-G26Q

Produtos afetados

Jenkins

Jenkins Azure Cli Plugin

Referências · 11

• https://github.com/jenkinsci/azure-cli-plugin · Nota
• https://jenkins.io/security/advisory/2025-10-29/#SECURITY-3538 · Aviso do Fabricante
• https://t.me/cveNotify/146532 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-64140 · Nota de Segurança
• https://twitter.com/CVEnew/status/1983530921606406277 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-rh72-238f-g26q · Aviso do Fabricante
• https://t.me/CVEtracker/36062 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-64140 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2025/10/29/2 · Nota
• https://twitter.com/CveTodo/status/1983544071051207089 · Publicação no Twitter
• https://twitter.com/ZeroPathLabs/status/1983546313867243612 · Publicação no Twitter