FICHE CVE

CVE-2025-68701

Publiée le 2026-01-13 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les bibliothèques Jervis utilisées pour les scripts de pipeline Jenkins et les plugins Job DSL sont affectées par une faille dans leur méthode de chiffrement des données. Comme le chiffrement utilise un schéma prévisible, un attaquant distant peut potentiellement déchiffrer des informations sensibles sans avoir besoin de privilèges particuliers, d'authentification ou d'interaction de l'utilisateur. Cette attaque est relativement simple à exécuter si l'attaquant a un accès réseau aux données chiffrées.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Cryptographie cassée ou risquée · CWE-327 CWE-340

Publiée2026-01-13

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses deterministic AES IV derivation from a passphrase. This vulnerability is fixed in 2.2.