FICHE CVE

CVE-2020-2099

Publiée le 2020-01-29 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Jenkins utilisant la version 2.213 ou antérieure (y compris la version LTS 2.204.1) sont affectées par une faille dans la manière dont le protocole d'agent TCP gère les clés de chiffrement. Un attaquant non authentifié disposant d'un accès réseau et du nom de vos agents de build peut voler leurs secrets de connexion pour usurper l'identité de ces agents et se connecter à votre contrôleur. Comme cela ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, l'exécution est relativement facile si vos ports d'agent Jenkins sont exposés.

CVSS 3.18.6 ÉLEVÉE

Type de faiblesse

CWE-330

Publiée2020-01-29

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéFaible

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Jenkins 2.213 and earlier, LTS 2.204.1 and earlier improperly reuses encryption key parameters in the Inbound TCP Agent Protocol/3, allowing unauthorized attackers with knowledge of agent names to obtain the connection secrets for those agents, which can be used to connect to Jenkins, impersonating those agents.