Intel

CVE-2026-53435

Red Hat Security Advisory: Release of Red Hat OpenShift Developer Tools - Openshift Jenkins 4.20 security update.

highPoCEPSS 53 %

Beschreibung

In Jenkins 2.567 und früher sowie LTS 2.555.2 und früher ist es möglich, dass Angreifer beliebige Typen aus dem Jenkins-Kern oder Plugins deserialisieren, die über eine von einem Angreifer kontrollierte `config.xml`-Eingabe erfolgen, sodass sie HTTP-Anfragen danach verarbeiten können. Dies kann dazu verwendet werden, sich als jeder Benutzer auszugeben und HTTP-Anfragen im Namen dieses Benutzers zu senden, einschließlich der Verwendung des Script Console zur Ausführung beliebigen Codes oder zum Lesen beliebiger Dateien vom Jenkins-Controller.

Quelle: REDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFOSVNVDCVEORGOSVCVELISTV5

Metriken

Severity
high
Priority-Score
138.35
KEV-Status
—
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
8.8
Quelle: nvd-v3
CVSS v3
8.8
CVSS v4
—
EPSS-Perzentil
98.9 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
53.1 %
Hoch — Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
Veröffentlicht
2026-08-26 10:57 UTC
CWE
—

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-08-27 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/53xxx/CVE-2026-53435.json">CVE-2026-53435</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:60248
    • Reference: https://access.redhat.com/errata/RHSA-2026:60249
    • Reference: https://access.redhat.com/errata/RHSA-2026:60252
  2. CVE Modified2026-06-10 16:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • CVSS V3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • CWE: CWE-502
  3. New CVE Received2026-06-10 14:16 UTC· jenkinsci-cert@googlegroups.com
    • Description: In Jenkins 2.567 and earlier, LTS 2.555.2 and earlier, it is possible for attackers to have Jenkins deserialize arbitrary types defined in Jenkins core or plugins from an attacker-controlled `config.xml` submission in a way that allows them to handle HTTP requests afterwards. This can be used to impersonate any user and send HTTP requests on their behalf, up to and including use of the Script Console to run arbitrary code, or to read arbitrary files from the Jenkins controller.
    • Reference: https://www.jenkins.io/security/advisory/2026-06-10/#SECURITY-3707

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • Apache

    Camel4.18

  • apache

    httpclient

  • apache

    mina

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    jenkins2.556.0

  • bitnami

    jenkins2.569.0

  • codehaus-plexus

    plexus-utils4.0.0 – 4.0.3

  • codehaus-plexus

    plexus-utils3.6.1

  • eclipse

    jetty10.0.0 – 10.0.28

  • eclipse

    jetty11.0.0 – 11.0.28

  • eclipse

    jetty12.0.0 – 12.0.32

  • eclipse

    jetty12.0.0 – 12.0.33

  • eclipse

    jetty12.1.0 – 12.1.6

  • eclipse

    jetty12.1.0 – 12.1.7

Quellen & Referenzen

Verknüpfte CVEs

4 weitere CVEs anzeigen
IDCVE-2026-53435