FICHE CVE

CVE-2025-68704

Publiée le 2026-01-13 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les bibliothèques Jervis utilisées pour les scripts de pipeline Jenkins sont affectées par une faille dans leur manière de générer des nombres aléatoires pour prévenir les attaques temporelles. Un attaquant distant et non authentifié pourrait potentiellement exploiter cette faille pour divulguer des informations sensibles, bien que cela soit techniquement difficile et nécessite une grande précision. Aucune interaction de l'utilisateur n'est requise, mais la complexité de l'attaque en fait un risque rare dans le monde réel.

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

CWE-330

Publiée2026-01-13

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses java.util.Random() which is not cryptographically secure for timing attack mitigation. This vulnerability is fixed in 2.2.