Das Jenkins-Projekt hat am 11. Oktober 2017 Sicherheitsupdates für den Kern und mehrere Plugins veröffentlicht. Bei der Swarm-Erweiterung muss der Client getrennt vom Plugin aktualisiert werden. Ein Plugin-Update allein beseitigt die beschriebene Schwachstelle nicht.
Die Weekly-Version 2.84 und LTS-Version 2.73.2 beheben die Kernprobleme. Betroffen sind Weekly-Versionen bis 2.83 und LTS-Versionen bis 2.73.1. Für Maven nennt das Projekt Version 3.0, für den Swarm-Client Version 3.5 als korrigierte Stände.
Agentenstart verlangt zusätzliche Rechte
Eine Agenten-Startmethode konnte berechtigten Nutzern Shell-Befehle auf dem Controller ermöglichen. Ihre Konfiguration verlangt nun Run-Scripts-Rechte. Die Beschreibung betrifft keinen allgemein offenen Zugriff ohne passende Agentenberechtigungen.
Die LTS-Release-Notes nennen neben den Sicherheitskorrekturen auch Fehlerbehebungen für passwortgeschützte ed25519-Schlüssel und eine Aktualisierung der Remoting-Bibliothek auf 3.10.2. Die Sicherheitswarnung und die allgemeinen Release Notes erfüllen verschiedene Aufgaben: Die erste beschreibt betroffene Angriffsflächen, die zweite zusätzlich Änderungen beim Betrieb.
Speaks! blieb ohne Korrektur
Speaks! blieb ohne Fix und wurde aus der Verteilung genommen. Eine neue Kernversion ist deshalb keine pauschale Entwarnung für sämtliche installierten Erweiterungen.
Seit Jenkins 2.0 können Build-, Test- und Auslieferungsschritte als Pipeline-Code versioniert werden. Für die Wartung solcher Abläufe müssen dennoch Controller, Agenten und separat eingesetzte Clients erfasst werden. Der Serverversionsstring allein beschreibt nicht den gesamten Softwarebestand einer Buildkette.
Archivhinweis: Die genannten Versionen dokumentieren die Sicherheitsmeldung vom Oktober 2017 und sind keine heutige Update-Empfehlung. Das unveränderte Logo stammt vom Jenkins-Projekt und steht unter CC BY-SA 3.0.