Jenkins ssh-agent Docker 映像 < 6.11.2 SSH 主机密钥重用

critical Nessus 插件 ID 248556

语言：

简介

远程主机上的 docker 容器受到 SSH 主机密钥重用漏洞的影响。

描述

根据其自我报告的版本号远程 Web 服务器上运行的 jenkins/ssh-agent docker 容器受到 SSH 主机密钥重用漏洞的影响。jenkins/ssh-agent Docker 镜像 6.11.1 和更早版本中在为基于 Debian 的镜像创建镜像时生成 SSH 主机密钥从而导致基于相同版本镜像的所有容器使用相同的 SSH 主机密钥进而允许攻击者在插入 SSH 客户端（通常是 Jenkins 控制器）和 SSH 构建代理之间的网络路径来假冒后者。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

将使用 jenkins/ssh-agent 的 docker 容器升级到 6.11.2 或更高版本。

另见

https://www.jenkins.io/security/advisory/2025-04-10/

插件详情

严重性: Critical

ID: 248556

文件名: jenkins_security_advisory_2025-04-10_ssh_agent.nasl

版本: 1.1

类型: local

代理: unix

系列: Misc.

发布时间: 2025/8/12

最近更新时间: 2025/8/12

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: High

基本分数: 9.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

CVSS 分数来源: CVE-2025-32754

CVSS v3

风险因素: Critical

基本分数: 9.1

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

漏洞信息

CPE: cpe:/a:jenkins:ssh-agent

必需的 KB 项: Service/docker

补丁发布日期: 2025/4/10

漏洞发布日期: 2025/4/10

参考资料信息

CVE: CVE-2025-32754