15.000 servidores Jenkins em risco devido à vulnerabilidade RCE (CVE-2025-53652)

Um novo relatório da VulnCheck expõe uma falha crítica de injeção de comando (CVE-2025-53652) no plugin Jenkins Git Parameter. Descubra como essa vulnerabilidade, inicialmente classificada como média, pode permitir que hackers executem código remotamente e comprometam milhares de servidores Jenkins não autenticados.

Uma nova análise de segurança da empresa VulnCheck revelou que uma vulnerabilidade no popular servidor de automação Jenkins é mais perigosa do que se pensava anteriormente. A falha, oficialmente identificada como CVE-2025-53652 , foi inicialmente classificada como uma ameaça de nível médio, mas descobriu-se que permite um tipo severo de ataque conhecido como injeção de comando. Isso poderia permitir que hackers assumissem o controle total de um servidor.

Para sua informação, o Jenkins é uma poderosa ferramenta de código aberto que as empresas usam para automatizar tarefas no desenvolvimento de software. A vulnerabilidade afeta especificamente um recurso chamado plugin Git Parameter, que permite que desenvolvedores selecionem e usem facilmente diferentes versões ou ramificações de código diretamente em suas tarefas automatizadas.

De acordo com o relatório da VulnCheck, compartilhado com o Hackread.com, cerca de 15.000 servidores Jenkins na internet atualmente têm suas configurações de segurança desativadas, tornando-os alvos fáceis para esse tipo de ataque.

O problema está em como o plugin Git Parameter lida com as informações fornecidas pelos usuários. Quando um usuário insere um valor, o plugin o utiliza diretamente em um comando sem verificar adequadamente se é seguro. Isso permite que um invasor habilidoso injete comandos maliciosos no sistema.

A equipe da VulnCheck confirmou que conseguiu usar essa falha para executar seu próprio código no servidor, um tipo perigoso de ataque chamado execução remota de código (RCE). Eles conseguiram usar esse método para obter controle de um servidor de teste e até mesmo acessar informações confidenciais, como uma chave mestra.

Embora a correção oficial para a vulnerabilidade tenha sido lançada, a VulnCheck alerta que o patch pode ser desabilitado manualmente por um administrador de sistema. Isso significa que um servidor ainda pode estar vulnerável mesmo após ter sido atualizado. Por isso, a empresa de segurança criou uma regra especial para ajudar as empresas a detectar qualquer tentativa de exploração dessa vulnerabilidade.

Embora a empresa não acredite que a falha será amplamente explorada, eles observam que esse é o tipo de fraqueza que invasores habilidosos valorizam para ataques específicos e direcionados ou para se aprofundar na rede de uma empresa.