15.000 Jenkins-Server durch RCE-Sicherheitslücke gefährdet (CVE-2025-53652)

Ein neuer Bericht von VulnCheck deckt eine kritische Befehlsinjektionsschwachstelle (CVE-2025-53652) im Jenkins Git Parameter-Plugin auf. Erfahren Sie, wie diese zunächst als mittelschwer eingestufte Schwachstelle Hackern die Remote-Codeausführung ermöglichen und Tausende nicht authentifizierte Jenkins-Server kompromittieren könnte.

Eine neue Sicherheitsanalyse der Firma VulnCheck hat ergeben, dass eine Schwachstelle im beliebten Automatisierungsserver Jenkins gefährlicher ist als bisher angenommen. Die Schwachstelle, offiziell als CVE-2025-53652 bezeichnet, wurde zunächst als mittlere Bedrohung eingestuft, ermöglicht aber eine schwerwiegende Angriffsart, die sogenannte Command Injection. Hacker könnten dadurch möglicherweise die vollständige Kontrolle über einen Server übernehmen.

Zu Ihrer Information: Jenkins ist ein leistungsstarkes Open-Source-Tool, das Unternehmen zur Automatisierung von Aufgaben in der Softwareentwicklung verwenden. Die Sicherheitslücke betrifft insbesondere eine Funktion namens Git Parameter Plugin, mit der Entwickler verschiedene Versionen oder Zweige von Code einfach direkt in ihren automatisierten Aufgaben auswählen und verwenden können.

Laut dem Bericht von VulnCheck, der Hackread.com vorliegt, sind die Sicherheitseinstellungen von rund 15.000 Jenkins-Servern im Internet derzeit deaktiviert, was sie zu einem leichten Ziel für diese Art von Angriffen macht.

Das Problem liegt darin, wie das Git-Parameter-Plugin mit den von Benutzern eingegebenen Informationen umgeht. Wenn ein Benutzer einen Wert eingibt, verwendet das Plugin diesen direkt in einem Befehl, ohne dessen Sicherheit ordnungsgemäß zu prüfen. Dies ermöglicht es einem erfahrenen Angreifer, schädliche Befehle in das System einzuschleusen.

Das VulnCheck-Team bestätigte, dass sie diese Schwachstelle ausnutzen konnten, um eigenen Code auf dem Server auszuführen – eine gefährliche Angriffsart namens Remote Code Execution (RCE). Mit dieser Methode konnten sie die Kontrolle über einen Testserver erlangen und sogar auf vertrauliche Informationen wie einen Hauptschlüssel zugreifen.

Obwohl der offizielle Fix für die Sicherheitslücke veröffentlicht wurde, warnt VulnCheck, dass der Patch von einem Systemadministrator manuell deaktiviert werden kann. Das bedeutet, dass ein Server auch nach einem Update weiterhin anfällig sein kann. Daher hat das Sicherheitsunternehmen eine spezielle Regel entwickelt, die Unternehmen dabei hilft, Versuche, diese Schwachstelle auszunutzen, zu erkennen.

Das Unternehmen geht zwar nicht davon aus, dass die Schwachstelle in großem Umfang ausgenutzt wird, weist jedoch darauf hin, dass es sich um eine Art von Schwachstelle handelt, die erfahrene Angreifer für spezifische, gezielte Angriffe oder zum tieferen Eindringen in das Netzwerk eines Unternehmens ausnutzen.